La empresa publicitaria israelí Discover-Tech utilizó anuncios comunes en internet para rastrear a personas e instalar spyware en sus dispositivos, según Reuters.
La empresa pudo distribuir anuncios a través de una amplia red de sitios web y aplicaciones mediante plataformas publicitarias operadas por Google, Comcast y Yandex. Investigaciones independientes de Citizen Lab y Confiant revelaron cómo funcionaba la operación. El simple hecho de cargar un anuncio podía exponer a los usuarios a vigilancia o spyware, incluso sin hacer clic en él.
Por qué bastó con cargar un anuncio para poner en riesgo un dispositivo
Las subastas de publicidad en tiempo real venden espacios publicitarios en milisegundos y comparten datos del dispositivo y la ubicación con posibles compradores. Algunos anuncios también ejecutan código. Citizen Lab denomina AdFection a esta técnica de spyware sin clics y vincula a Discover-Tech con Candiru, una empresa israelí de spyware incluida en una lista negra de Estados Unidos en 2021.
El 12 de abril de 2026, Confiant detectó un banner de MyIPInfo que redirigía a una infraestructura vinculada a Candiru a través de Amazon CloudFront. El anuncio cargaba una herramienta de verificación falsa que contenía unos 90 KB de JavaScript oculto. Esto le permitía recopilar información del dispositivo y comunicarse mediante un canal cifrado. Confiant investigó la actividad entre abril y septiembre de 2026.
45 máquinas infectadas en Al Jazeera; millones más expuestas
Citizen Lab examinó cuatro mil millones de registros de subastas. Descubrió que Discover-Tech había contratado anuncios en al menos 120.000 sitios web y 75.000 aplicaciones.
Según los cálculos de Confiant, Discover-Tech distribuye al menos 10 millones de anuncios al día. Su cofundador, Jerome Dangu, afirmó que «es muy probable que cientos de millones de personas hayan estado expuestas a Discover-Tech».
Citizen Lab confirmó que el spyware de Candiru infectó 45 equipos con Windows de Al Jazeera entre 2024 y 2025. La cadena afirmó que «condena los ataques con spyware dirigidos contra varios de sus empleados».
Los anuncios de Discover-Tech también aparecen en redes asociadas con organismos gubernamentales e internacionales, como el Pentágono, las Naciones Unidas, la OTAN, la Comisión Europea, el Organismo Internacional de Energía Atómica y la Corte Penal Internacional. Los investigadores también detectaron anuncios de Discover-Tech en redes asociadas con los fabricantes de chips Nvidia, Broadcom y Micron.
Sin embargo, la exposición no implica necesariamente una infección. A diferencia de los casos de intrusión denunciados en Al Jazeera, la presencia de estos anuncios no demuestra que el spyware haya infectado con éxito dispositivos de esas instituciones.
Google, IAB Europe y Beeswax cortan el acceso
Google eliminó a Discover-Tech de su plataforma publicitaria «por infringir sistemáticamente nuestras políticas». IAB Europe también retiró a la empresa de publicidad de su lista de proveedores aprobados. Beeswax, de Comcast, bloqueó su acceso a la plataforma.
Los hallazgos suscitaron inquietudes más amplias sobre la seguridad de la publicidad en internet. Wolfie Christl, investigador de Citizen Lab, advirtió que «la forma en que funciona hoy la publicidad en internet constituye una amenaza sistémica para la seguridad».
Un mercado de 1,34 billones de dólares construido sobre la misma infraestructura
El mercado publicitario sigue creciendo, lo que aumenta lo que está en juego en materia de seguridad. WARC prevé que el gasto mundial en publicidad alcance los 1,34 billones de dólares en 2026. En Estados Unidos, la publicidad programática generó la asombrosa cifra de 162.400 millones de dólares en 2025, según datos de IAB. Sin embargo, las medidas de seguridad no han logrado seguir el ritmo de la creciente adopción de la inteligencia artificial en la industria publicitaria.
Una investigación de IAB muestra que solo alrededor del 40 % de los compradores de publicidad encuestados ya han tomado medidas o tienen previsto hacerlo frente a los riesgos legales, de seguridad y de datos relacionados con la medición basada en IA.
Noruega impuso recientemente una multa de 92 millones de coronas noruegas a Xandr, propiedad de Microsoft, por compartir ilegalmente datos confidenciales de Grindr mediante subastas publicitarias. Se trató de una violación de la privacidad, no de un caso de spyware. La reguladora Line Coll afirmó que la responsabilidad «no puede transferirse a otros».
Campaña de spyware de Discover-Tech: millones de personas expuestas, 45 dispositivos infectados
El caso de Discover-Tech se produce mientras las empresas de publicidad invierten cada vez más en datos de consumidores y segmentación basada en IA. Como informó anteriormente Cryptopolitan, Publicis Groupe firmó un acuerdo para comprar LiveRamp por 2.200 millones de dólares, con lo que reforzará sus actividades de marketing basadas en IA.
Aunque el acuerdo no está relacionado con los ataques de spyware, demuestra la importancia que han adquirido los datos y la automatización para el sector. Los hallazgos también plantean dudas sobre si las medidas de seguridad actuales están logrando seguir el ritmo.
Citizen Lab ha pedido que se investigue a Discover-Tech y Candiru, lo que aumenta la presión sobre las plataformas publicitarias para que mejoren la evaluación de sus proveedores y la detección de anuncios maliciosos.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.