Investigadores de la Universidad de Toronto descubrieron una nueva y preocupante forma de espionaje digital que utilizaba anuncios comunes de internet para identificar usuarios y, en determinados casos, infectar sus dispositivos con sofisticado spyware sin necesidad de que la víctima hiciera clic en ningún enlace.
El Citizen Lab, centro de investigación de la Munk School of Global Affairs and Public Policy, denominó la técnica “AdFection” y aseguró que constituye la primera confirmación técnica pública de spyware mercenario distribuido mediante publicidad dirigida utilizando un ataque “zero-click”.
En un ataque zero-click, la víctima no necesita abrir un archivo, presionar un enlace ni responder a un mensaje. El código malicioso puede comenzar a actuar automáticamente cuando determinado contenido llega al dispositivo.
Según los investigadores, la operación estaba vinculada a Discover-Tech, una empresa israelí que se presentaba como compañía de publicidad digital.
Citizen Lab sostiene que Discover-Tech funcionaba como intermediario entre el enorme ecosistema de publicidad en internet y varias empresas de vigilancia comercial.
Entre ellas se encontraba Candiru, también conocida recientemente como Integrity Labs, una compañía israelí especializada en spyware y que fue incluida en 2021 en una lista negra del gobierno estadounidense debido a preocupaciones sobre el uso de su tecnología para atacar a funcionarios, periodistas, activistas y otras personas.
El funcionamiento de la operación aprovechaba una característica cotidiana de internet: las subastas automáticas de publicidad.
Cada vez que una persona abre una página web o una aplicación que contiene publicidad, puede realizarse en fracciones de segundo una subasta conocida como Real-Time Bidding. Diferentes empresas compiten automáticamente por mostrarle un anuncio a ese usuario.
Durante ese proceso se puede transmitir información sobre el dispositivo, dirección IP, ubicación aproximada, identificadores publicitarios y otras características utilizadas normalmente para determinar qué publicidad mostrar.
Los investigadores concluyeron que esa infraestructura también podía ser utilizada para localizar individuos específicos.
Cuando Discover-Tech ganaba una de esas subastas, su anuncio podía ejecutar código dentro de la página o aplicación. En la mayoría de los casos servía para recopilar información sobre el dispositivo y ayudar a identificar al usuario.
Pero cuando el sistema encontraba una persona seleccionada previamente como objetivo, podía entregar código adicional diseñado para explotar vulnerabilidades e instalar spyware.
La víctima no tenía que hacer absolutamente nada.
El simple hecho de que el anuncio apareciera en el dispositivo podía ser suficiente.
Citizen Lab pudo confirmar uno de estos ataques después de analizar registros de la cadena internacional de noticias Al Jazeera.
Entre 2024 y 2025, al menos 45 dispositivos de la organización fueron atacados mediante esta técnica y algunos fueron comprometidos con spyware asociado a Candiru.
Una vez instalado, un spyware de esta categoría puede potencialmente permitir acceso muy amplio al dispositivo, incluyendo información privada y comunicaciones, dependiendo del sistema utilizado y de los permisos obtenidos.
La dimensión de la infraestructura descubierta fue considerable.
Los investigadores analizaron cerca de cuatro mil millones de registros de ofertas publicitarias pertenecientes a Discover-Tech.
Entre marzo y junio de 2026, anuncios relacionados con la compañía aparecieron en más de 120,000 sitios web y alrededor de 75,000 aplicaciones para Android y iOS en numerosos países.
Los investigadores observaron este tipo de publicidad mientras navegaban incluso por sitios conocidos, incluyendo CBC y Yahoo, y utilizando una aplicación de Sudoku en Android.
Esto no significa que CBC, Yahoo u otras páginas y aplicaciones mencionadas estuvieran involucradas en las operaciones de espionaje o hubieran sido hackeadas. La publicidad llega a esos espacios a través de complejas redes automatizadas que incluyen numerosos intermediarios.
La investigación también encontró impresiones publicitarias dentro de redes pertenecientes a organismos e instituciones sensibles, incluyendo Naciones Unidas, NATO, la Comisión Europea y diferentes gobiernos.
Investigadores asociados al análisis estiman que la infraestructura publicitaria de Discover-Tech pudo haber alcanzado a cientos de millones de personas, aunque solamente una pequeña proporción habría sido seleccionada para recibir spyware.
La distinción es importante.
Haber visto uno de estos anuncios no significa necesariamente que un teléfono haya sido infectado. La gran mayoría de los dispositivos aparentemente fueron utilizados para recopilar información y crear perfiles que posteriormente podían ayudar a localizar objetivos específicos.
El descubrimiento ha provocado medidas dentro de la industria tecnológica.
Google, que colaboró con los investigadores, eliminó a Discover-Tech de sus plataformas de intercambio publicitario después de concluir que había violado sus políticas.
Otras compañías del ecosistema publicitario también bloquearon o suspendieron su acceso.
El caso plantea ahora interrogantes mucho más amplios sobre la seguridad de la publicidad digital.
Durante años se ha debatido cómo los anuncios personalizados recopilan información sobre hábitos, intereses, ubicación y comportamiento de los usuarios. La investigación de Toronto demuestra que esa misma infraestructura puede convertirse además en una herramienta de vigilancia y espionaje.
Citizen Lab considera especialmente preocupante el riesgo para periodistas, defensores de derechos humanos, diplomáticos, funcionarios públicos y otras personas que pueden convertirse en objetivos de operaciones de vigilancia sofisticadas.
Los investigadores recomiendan reducir el seguimiento publicitario siempre que sea posible, utilizar navegadores con mejores protecciones de privacidad, considerar herramientas confiables para bloquear anuncios y tracking, mantener los dispositivos actualizados y limitar los identificadores publicitarios utilizados por teléfonos y aplicaciones.
Para usuarios con un riesgo elevado debido a su profesión o actividad, la recomendación es buscar asesoría especializada en seguridad digital.
El hallazgo representa un cambio significativo en la manera de entender una actividad que millones de personas realizan todos los días.
Hasta ahora, una recomendación tradicional para evitar ataques informáticos era simplemente “no hacer clic”.
La investigación de la Universidad de Toronto demuestra que, frente a determinadas herramientas de espionaje, incluso esa precaución puede dejar de ser suficiente.
