Una investigación de Citizen Lab documentó una técnica que puede utilizar anuncios publicados en páginas web y aplicaciones para distribuir programas espía sin que la víctima haga clic, abra un enlace o descargue un archivo. El método fue denominado AdFection y aprovecha la infraestructura de publicidad digital para dirigir ataques contra equipos específicos.
El laboratorio de la Universidad de Toronto relacionó la operación con Discover-Tech, una empresa israelí vinculada a actividades que utilizaban el software de espionaje Candiru. El análisis identificó evidencias de que al menos 45 dispositivos de la cadena internacional Al Jazeera fueron objetivos durante 2024 y 2025, aunque no se estableció que todos terminaran comprometidos.
Cómo funcionaba el ataque
Cuando una persona abre una página o una aplicación, varios intermediarios participan en la selección de los anuncios. En ese proceso pueden circular datos como la dirección IP, identificadores publicitarios y características técnicas del celular o computador.
Discover-Tech habría utilizado esa información para reconocer posibles objetivos. Los investigadores identificaron una plataforma llamada Controlium, diseñada para seleccionar destinatarios mediante identificadores y otros datos publicitarios.
Una vez localizado un equipo, los atacantes podían enviar contenido adicional y aprovechar una vulnerabilidad del navegador o del sistema operativo para ejecutar código e instalar el programa espía. La operación podía comenzar mientras el anuncio se cargaba en segundo plano.
El procedimiento se conoce como zero-click porque no requiere una acción de la víctima. Aun así, no significaba que cualquier persona que viera un anuncio quedara infectada: el ataque dependía de que el dispositivo fuera seleccionado y tuviera una vulnerabilidad aprovechable.
Citizen Lab examinó cerca de 4.000 millones de registros de ofertas publicitarias. Entre marzo y junio de 2026 encontró anuncios de Discover-Tech en más de 120.000 sitios web y 70.000 aplicaciones móviles. Estas cifras indican dónde se distribuyó la publicidad, no cuántos dispositivos fueron infectados.
Bloqueos a Discover-Tech
Después de conocer los hallazgos, Google retiró a Discover-Tech de sus registros y canceló su acceso a los sistemas de intercambio publicitario a principios de octubre de 2026. IAB Europe también la retiró de su listado de proveedores.
Beeswax revocó los permisos de la empresa para comprar espacios publicitarios, Eskimi bloqueó sus cuentas y dominios, y Vungle, perteneciente a Liftoff, suspendió sus operaciones mientras realizaba una revisión.
Citizen Lab recomendó mantener actualizados el sistema operativo, el navegador y las aplicaciones. Las actualizaciones corrigen vulnerabilidades conocidas y reducen la exposición, aunque no garantizan protección frente a fallas que todavía no hayan sido descubiertas o solucionadas.