Firma publicitaria israelí usó anuncios online para distribuir spyware de clic cero, según investigadores

Según lo indicado por, la firma publicitaria israelí Discover-Tech utilizó anuncios en línea convencionales para rastrear a las personas e instalar spyware en sus dispositivos. Reuters.

Fue capaz de distribuir anuncios a través de una vasta red de sitios web y aplicaciones utilizando plataformas publicitarias operadas por Google, Comcast y Yandex. Investigaciones independientes realizadas por Citizen Lab y Confiant revelaron cómo funcionaba la operación. Simplemente cargar un anuncio podía exponer a los usuarios a vigilancia o spyware, incluso sin hacer clic en él.

Por qué un anuncio cargado fue suficiente para comprometer un dispositivo

Subastas de puja en tiempo real para espacios publicitarios en milisegundos, compartiendo datos del dispositivo y la ubicación con posibles compradores. Algunos anuncios también ejecutan código. Citizen Lab denomina a la técnica de espionaje de clics cero AdFection y vincula a Discover-Tech con Candiru, un fabricante israelí de spyware incluido en la lista negra de EE. UU. en 2021.

El 12 de abril de 2026, Confiant encontró un banner de MyIPInfo que redirigía a una infraestructura vinculada a Candiru a través de Amazon CloudFront. El anuncio cargaba una herramienta de verificación falsa que contenía aproximadamente 90 KB de JavaScript oculto. Esto le permitía recopilar información sobre el dispositivo y comunicarse a través de un canal cifrado. Confiant investigó la actividad entre abril y septiembre de 2026.

45 máquinas infectadas en Al Jazeera, millones más expuestas

Citizen Lab examinó cuatro mil millones de registros de puja. Descubrió que Discover-Tech había reservado sus anuncios en al menos 120.000 sitios web y en 75.000 aplicaciones.

Según la estimación de Confiant, se entregan al menos 10 millones de anuncios a través de Discover-Tech en un día. Su cofundador Jerome Dangu dijo “es muy probable que cientos de millones de personas hayan sido afectadas por Discover-Tech.”

Citizen Lab confirmó que el spyware Candiru comprometió 45 máquinas Windows en Al Jazeera durante 2024–2025. La cadena de televisión declaró que “condena los ataques con spyware dirigidos contra varios de sus empleados.”

Los anuncios de Discover-Tech también se muestran en redes asociadas con agencias gubernamentales e internacionales, incluido el Pentágono, las Naciones Unidas, la OTAN, la Comisión Europea, el Organismo Internacional de Energía Atómica y la Corte Penal Internacional. Los investigadores también detectaron anuncios de Discover-Tech en redes asociadas con fabricantes de chips como Nvidia, Broadcom y Micron.

Sin embargo, la exposición no significa necesariamente infección. A diferencia de los compromisos reportados en Al Jazeera, estas apariciones no establecen que el spyware haya infectado exitosamente los dispositivos en esas instituciones.

Google, IAB Europe y Beeswax cortan el acceso

Google eliminó a Discover-Tech de su plataforma publicitaria "por violar sistemáticamente nuestras políticas". IAB Europe también retiró a la empresa de publicidad de su lista de proveedores aprobados. Beeswax de Comcast bloqueó su acceso a la plataforma.

Los hallazgos generaron mayores preocupaciones sobre la seguridad de la publicidad en línea. El investigador de Citizen Lab Wolfie Christl advirtió que "la forma en que funciona la publicidad en línea hoy en día es una amenaza sistémica para la seguridad".

Un mercado de $1.34 billones construido sobre la misma infraestructura

El mercado publicitario sigue creciendo, lo que aumenta las apuestas en materia de seguridad. WARC espera que el gasto publicitario global alcance los 1,34 billones de dólares en 2026. En Estados Unidos, la publicidad programática generó una asombrosa cantidad de 162.400 millones de dólares en 2025, según las cifras de IAB. Sin embargo, las medidas de seguridad no han logrado seguir el ritmo del creciente uso de la inteligencia artificial en la industria publicitaria.

La investigación de IAB muestra que solo alrededor del 40% de los compradores de anuncios encuestados ya han realizado o planean realizar algo en relación con los riesgos legales, de seguridad y de datos asociados a la medición impulsada por IA.

Noruega recientemente multó a Xandr, propiedad de Microsoft, con 92 millones de coronas noruegas por compartir ilegalmente datos sensibles de Grindr a través de subastas publicitarias. Se trató de una violación de la privacidad, no de un caso de spyware. La reguladora Line Coll afirmó que la responsabilidad “no puede ser transferida a terceros”.

El caso de Discover-Tech se produce mientras las empresas publicitarias invierten cada vez más en datos de consumidores y segmentación impulsada por IA. Como previamente informó Cryptopolitan, Publicis Groupe firmó un acuerdo para adquirir LiveRamp por 2.200 millones de dólares, mejorando así sus actividades de marketing basadas en IA.

Aunque el acuerdo no tiene relación con los ataques de espionaje, muestra lo importantes que se han vuelto los datos y la automatización para la industria. Los hallazgos también plantean dudas sobre si las medidas de seguridad existentes están al día.

Citizen Lab ha pedido investigaciones contra Discover-Tech y Candiru, ejerciendo presión sobre las plataformas publicitarias para mejorar cómo filtran a los proveedores y detectan anuncios maliciosos.

Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.