Entras en una web para consultar una noticia. Mientras lees, se carga un anuncio que ni siquiera te interesa. No pulsas sobre él, no descargas nada y sigues con tu vida. Lo inquietante es que, según una investigación publicada este 15 de octubre, ese espacio publicitario también puede servir para identificarte y, si eres un objetivo elegido, intentar infectar tu dispositivo sin que hagas nada.
Investigadores de Citizen Lab, de la Universidad de Toronto, y de la empresa de seguridad publicitaria Confiant han documentado una operación que utilizaba anuncios digitales para rastrear dispositivos y facilitar ataques con programas espía. La bautizaron AdFection. En Sal de la Matrix hablamos a menudo de lo que los algoritmos saben de nosotros. Esta historia añade una pregunta bastante menos cómoda: ¿qué puede hacer con esa información alguien que compra publicidad para vigilarnos?
Qué ha descubierto Citizen Lab sobre AdFection
El informe técnico publicado el 15 de octubre de 2026 señala a Discover-Tech, una empresa israelí que se presentaba como proveedora de tecnología publicitaria. Según los investigadores, su plataforma Controlium permitía a clientes del sector del espionaje comercial localizar dispositivos concretos y enviarles código mediante anuncios. Entre los proveedores vinculados a la operación aparece Candiru, también conocida como Integrity Labs.
La prueba más sólida procede de la cadena internacional Al Jazeera. Sus registros de red permitieron a Citizen Lab reconstruir ataques de 2024 y 2025 contra al menos 45 dispositivos. Los investigadores identificaron una secuencia compatible con infecciones mediante el spyware de Candiru: primero se mostraba un anuncio, después el equipo contactaba con servidores que comprobaban si era el objetivo adecuado y, en los casos de infección, terminaba comunicándose con la infraestructura de control del programa espía.
Conviene separar las cifras. El informe documenta ataques dirigidos a al menos 45 equipos y pruebas técnicas de infección; no demuestra que todas las personas que vieron aquellos anuncios fueran hackeadas. Tampoco identifica públicamente a los gobiernos que habrían encargado cada operación. Discover-Tech y los responsables de Candiru no respondieron a las solicitudes de comentarios recogidas por Reuters.
Cómo se convierte una publicidad corriente en una herramienta de espionaje
La mayoría de anuncios que ves en Internet no se eligen manualmente. Cuando abres una página o una aplicación, se produce una subasta automática: distintas empresas compiten por mostrarte publicidad. En milésimas de segundo pueden circular datos técnicos sobre el dispositivo, la ubicación aproximada o identificadores publicitarios. El sistema se conoce como publicidad programática y es una pieza importante del negocio de la atención.
En nuestro artículo sobre cómo los algoritmos personalizan lo que ves explicábamos cómo las plataformas aprenden de tus hábitos. La publicidad añade otra capa: empresas que pueden no tener una relación directa contigo utilizan señales y perfiles para decidir si merece la pena pujar por tu pantalla. En condiciones normales, buscan venderte unas zapatillas. En este caso, según Citizen Lab, algunos participantes buscaban algo bastante menos comercial.
El anuncio que comprueba si eres la persona buscada
Los investigadores describen un mecanismo selectivo. Al cargarse el anuncio, un pequeño programa enviaba información a servidores asociados a Discover-Tech. Si el dispositivo no coincidía con un objetivo, el servidor podía devolver una respuesta vacía. Si coincidía, enviaba código adicional. Así, la mayoría de usuarios podía ver un anuncio aparentemente normal mientras la carga peligrosa se reservaba para unos pocos.
Eso ayuda a explicar por qué es tan difícil detectar estas campañas. Un sistema de revisión que analiza el anuncio desde un ordenador cualquiera puede recibir una versión inocua. El objetivo elegido recibe otra. Los atacantes aprovechan una infraestructura diseñada precisamente para reconocer audiencias y entregar contenido distinto a cada una.
Qué significa realmente «zero-click»
Un ataque zero-click puede ejecutarse sin que la víctima pulse un enlace o acepte instalar un archivo. Eso no significa que todos los anuncios puedan infectar cualquier teléfono ni que la infección sea inevitable. Hace falta una cadena técnica capaz de aprovechar vulnerabilidades concretas. La novedad documentada es el uso de la publicidad dirigida como canal para entregar ataques de este tipo, algo que Citizen Lab presenta como la primera confirmación técnica pública de su clase.
120.000 webs, 75.000 aplicaciones y una cifra que exige contexto
Citizen Lab examinó casi 4.000 millones de registros de pujas publicitarias correspondientes a marzo-junio de 2026. Encontró anuncios con los mecanismos investigados en 120.768 sitios web y 75.373 aplicaciones para Android e iOS. En esos cuatro meses, la plataforma analizada realizó aproximadamente 3.770 millones de pujas y ganó unos 442 millones de impresiones.
Son cifras enormes, pero no deben confundirse con infecciones. Una impresión es una ocasión en la que se muestra un anuncio. Una puja es un intento de comprar ese espacio. Ni una ni otra prueban que se haya instalado spyware. El laboratorio también encontró millones de contactos con infraestructura asociada a Candiru, que podrían corresponder a reconocimiento y selección de objetivos, sin acreditar que todos acabaran comprometidos.
Los anuncios llegaron a redes utilizadas por organismos públicos, empresas tecnológicas e instituciones internacionales. Reuters cita, entre otros entornos, a la ONU, la OTAN y la Comisión Europea. Que un anuncio aparezca en una red institucional no demuestra que sus equipos hayan sido infectados. La diferencia entre exposición y compromiso importa especialmente cuando una investigación tiene cifras capaces de provocar un buen susto.
El seguimiento empieza mucho antes de intentar infectarte
La investigación paralela de Confiant describe una segunda actividad: recopilar identificadores, características de dispositivos y, en determinados entornos, cookies propias de las webs donde se insertaban los anuncios. Su análisis detectó casos en los que se transmitían identificadores de sesión e incluso datos personales presentes en determinados tokens. La empresa afirma haber observado esta recogida también en situaciones sin el consentimiento exigible en la Unión Europea.
La finalidad aparente era construir un mapa de identidades digitales. Una dirección IP, un identificador publicitario y una cookie aislados pueden decir poco. Relacionados durante semanas, permiten reconocer dispositivos y seguir su actividad. La lógica recuerda al problema de las cámaras que registran matrículas: el dato individual parece limitado, pero una sucesión de registros puede revelar movimientos y hábitos. Son tecnologías diferentes, aunque la acumulación de información produce un efecto parecido.
La especial atención a determinados territorios
Confiant observó una presencia especialmente intensa de los anuncios de Discover-Tech en territorios palestinos. Según sus mediciones, aproximadamente uno de cada 36 anuncios mostrados en Android allí procedía de esta infraestructura durante el periodo analizado. También detectó patrones llamativos en otros países, incluida España, con aumentos de exposición en determinados momentos.
Esos patrones justifican investigar qué buscaban los operadores, pero no permiten identificar por sí solos a un cliente gubernamental concreto ni afirmar que los usuarios españoles sufrieran infecciones. La geografía de una campaña aporta pistas; la autoría y las víctimas requieren pruebas adicionales.
Una empresa aceptada por la industria publicitaria desde 2020
Quizá la parte más incómoda del informe sea que Discover-Tech figuró durante años en registros de proveedores autorizados. Citizen Lab señala que aparecía en listas de Google y en el sistema de proveedores de IAB Europe desde 2020. Esas inclusiones le facilitaban operar en el mercado publicitario, aunque estar en una lista de proveedores no constituye una garantía de que cada actividad haya sido auditada a fondo.
Tras la investigación, Google retiró a Discover-Tech de sus plataformas publicitarias por vulnerar sistemáticamente sus políticas, según explicó a Reuters el 15 de octubre. IAB Europe también la eliminó de su lista el 8 de octubre. Otros operadores, como Beeswax, Vungle y Eskimi, bloquearon o suspendieron su acceso. Son medidas concretas, aunque llegaron después de años de actividad documentada.
El episodio conecta con lo que contamos sobre los proveedores que trabajan detrás de una aplicación. Un usuario conoce el nombre de la web que visita, pero rara vez sabe cuántas empresas participan en servirle un anuncio. La confianza se delega en contratos, certificaciones y controles que el público apenas puede examinar.
Qué puedes hacer para reducir la exposición
Citizen Lab recomienda limitar el seguimiento publicitario y bloquear anuncios, especialmente en dispositivos de personas expuestas a riesgos elevados, como periodistas, activistas o personal de organismos sensibles. Son medidas de reducción de riesgo, no una garantía de protección frente a cualquier spyware. Si existe una sospecha fundada de ataque dirigido, hace falta asistencia especializada.
En Android, iPhone y el navegador
En Android, puedes buscar en Ajustes > Privacidad > Anuncios la opción para eliminar el identificador publicitario. La ruta puede variar según fabricante y versión; Google explica qué hace ese identificador y cómo borrarlo. Eliminarlo reduce una vía de seguimiento, aunque las empresas pueden utilizar otras señales.
En iPhone, entra en Ajustes > Privacidad y seguridad > Seguimiento para revisar qué aplicaciones tienen permiso para rastrear tu actividad entre servicios de distintas empresas. Puedes desactivar las solicitudes de seguimiento; Apple detalla el funcionamiento de este ajuste. En el ordenador, un navegador con bloqueo de rastreadores también ayuda. Por ejemplo, Firefox permite activar la protección estricta, aunque puede afectar al funcionamiento de algunas páginas.
En empresas y administraciones, el informe propone además bloquear publicidad en los equipos de trabajo y en la red corporativa, revisar los proveedores autorizados y vigilar solicitudes sospechosas relacionadas con anuncios. El problema que revela AdFection no puede trasladarse entero al usuario: las plataformas y los intermediarios que venden el acceso a millones de pantallas tienen una responsabilidad mucho mayor.
El negocio que sabía encontrarte también podía entregarte
La investigación no demuestra que cada anuncio sea peligroso ni que millones de personas hayan sido infectadas. Sí documenta que una infraestructura publicitaria mundial permitió localizar dispositivos y entregar ataques de espionaje a objetivos seleccionados. Y muestra que los controles de un sector acostumbrado a intercambiar datos a gran velocidad fueron insuficientes para impedirlo.
Durante años nos explicaron que la publicidad personalizada servía para enseñarnos anuncios más relevantes. Resulta que la capacidad de encontrar a una persona concreta entre millones de pantallas también interesa a quienes venden herramientas de espionaje. La misma precisión que permite perseguirte con unas zapatillas puede utilizarse para perseguirte por motivos bastante menos deportivos.
