Gobiernos utilizan anuncios online para hackear dispositivos con spyware de 'cero clic'

Investigadores de la unidad de derechos digitales Citizen Lab advirtieron sobre el uso de plataformas publicitarias por parte de gobiernos para infiltrar spyware en dispositivos, un fenómeno conocido como spyware de 'cero clic'. Un nuevo informe publicado por el laboratorio de la Universidad de Toronto reveló que una empresa israelí llamada Discover-Tech permite a los creadores de spyware utilizar su plataforma publicitaria para dirigir ataques a personas o dispositivos en todo el mundo.

Según el informe, Discover-Tech se presenta como una firma publicitaria legítima, pero en realidad actúa como un puente entre los vendedores de anuncios y el ecosistema de spyware mercenario. Investigadores encontraron que al menos dos fabricantes de spyware, Candiru y Bindecy, utilizaron la plataforma de Discover-Tech para atacar a personas, utilizando productos de vigilancia que pueden infectar dispositivos sin que la víctima necesite abrir un mensaje o hacer clic en un enlace.

Un ataque documentado afectó a al menos 45 computadoras con Windows en la organización de medios Al Jazeera, que fueron aparentemente hackeadas entre 2024 y 2025 a través del spyware de Candiru tras ser expuestas a anuncios online con código malicioso. Aunque no está claro qué gobiernos estuvieron detrás de estos ataques, este es el primer caso confirmado de ataques de spyware respaldados por gobiernos entregados a través de anuncios online, lo que podría poner en riesgo a una gran cantidad de dispositivos en todo el mundo.

Bill Marczak, investigador senior de Citizen Lab, comentó que "ha habido mucho interés en que los anuncios online pueden ser utilizados para identificar y hackear automáticamente objetivos con precisión, pero ahora, por primera vez, tenemos evidencia técnica concreta que muestra este proceso en acción".

Los hackers han buscado durante mucho tiempo formas de abusar del acceso a las redes publicitarias, debido a su capacidad para alcanzar casi cualquier dispositivo conectado a internet en el mundo. Las redes publicitarias están diseñadas para ayudar a los anunciantes a dirigir anuncios específicos a ciertos tipos de personas, dispositivos y organizaciones, pero también pueden ser mal utilizadas para atacar a individuos o dispositivos específicos con código malicioso.

Si bien los ataques de malvertising no son nuevos, el uso de anuncios online para permitir que poderosos spyware gubernamentales hackeen silenciosamente dispositivos representa una escalada notable. Expertos en seguridad y privacidad han instado durante años a las personas a instalar bloqueadores de anuncios para prevenir la exhibición de anuncios en pantallas de escritorio y móviles, pero la ubicuidad de la publicidad online hace difícil escapar completamente de las garras de la industria.

Los investigadores afirmaron que la plataforma de Discover-Tech, que la empresa denomina Controlium, dejó expuesto parte de su código fuente en sus páginas de inicio de sesión, lo que permitió a los investigadores recrear su panel de control basado en la web sin necesidad de iniciar sesión. El panel de control web "parece estar diseñado específicamente para permitirles enviar contenido malicioso a usuarios individuales específicos junto con anuncios".

Citizen Lab también descubrió que el sitio de Discover-Tech tenía una parte accesible públicamente que permitía a los investigadores descargar grandes volúmenes de registros de inicio de sesión de usuarios para el panel de control de Controlium sin necesidad de una contraseña. Algunos detalles de inicio de sesión pertenecían a al menos dos empleados del fabricante de spyware Candiru, así como algunos de Bindecy.

Además, los investigadores encontraron miles de millones de registros de pujas publicitarias expuestos en el sitio de Discover-Tech, que mostraron que sus anuncios se habían mostrado en decenas de miles de aplicaciones móviles y sitios web entre marzo y junio de 2026.

Los registros de pujas mostraron que los anuncios se mostraron en dispositivos utilizados por ejércitos, gobiernos, infraestructuras críticas y agencias cibernéticas nacionales. Sin embargo, no está claro si los anuncios mostrados resultaron en un compromiso o infección.

Los investigadores de seguridad de la plataforma de calidad de anuncios Confiant, que trabajaron con Citizen Lab en la investigación, afirmaron haber encontrado evidencia de que anuncios potencialmente maliciosos también se mostraron en dispositivos en las redes de la Agencia Internacional de Energía Atómica y la Corte Penal Internacional.

Marczak, de Citizen Lab, indicó que Discover-Tech es "sin duda solo la punta del iceberg" y urgió a las personas a tomar medidas defensivas. "Si puedes ser atacado según quién eres o qué haces, es momento de desactivar el seguimiento de anuncios en tus dispositivos o incluso bloquear anuncios por completo", dijo Marczak.

Al Jazeera no respondió a una solicitud de comentarios sobre los hackeos. Tampoco lo hizo Discover-Tech, y el fabricante de Candiru, Integrity Labs, no pudo ser contactado para hacer comentarios.