El mecanismo descrito se apoya en la publicidad programática, el sistema que decide en milisegundos qué anuncio aparece en una web o aplicación mediante subastas automáticas, la llamada puja en tiempo real. Según Citizen Lab, cuando una empresa determinada gana esa puja, el anuncio cargado solicita código adicional a un servidor propio capaz de identificar y perfilar el dispositivo receptor. Si el aparato coincide con un objetivo marcado, el spyware se instala sin que la víctima llegue a ver el anuncio ni a interactuar con él.
Bill Marczak, investigador sénior de Citizen Lab, señala que la persona afectada no notaría nada anómalo y podría incluso no ver ningún anuncio en pantalla. Esa característica distingue a AdFection de los métodos de infección conocidos hasta ahora, basados en enlaces maliciosos o mensajes fraudulentos que necesitan algún gesto del usuario para activarse.
Discover-Tech, puente hacia el spyware
Citizen Lab identifica a Discover-Tech, empresa publicitaria registrada en Israel, como la pieza que conecta el ecosistema de la publicidad digital con la industria del spyware. Su plataforma, Controlium, permite según el informe desanonimizar e identificar dispositivos de forma automática en el momento en que se sirve un anuncio, y dirigir después a los equipos marcados hacia la infraestructura de infección. El documento la define como un puente entre el mundo de la publicidad y la industria del programa espía.
Los registros de red aportados por Al Jazeera fueron determinantes para reconstruir la cadena del ataque. Esos registros muestran un recorrido que va de la infraestructura de Discover-Tech a servidores de validación de Candiru, la firma israelí de spyware, y de ahí a los servidores que controlan el programa espía. Citizen Lab atribuye el desarrollo a Candiru con un grado de confianza alto, aunque no ha logrado identificar qué gobierno u otro cliente encargó los ataques contra la cadena catarí. El informe recoge que ni Discover-Tech ni Candiru respondieron a las peticiones de comentarios de los investigadores.
Impresiones en redes de la OTAN y la ONU
La escala del fenómeno supera con mucho el caso de Al Jazeera. Los registros de pujas que Discover-Tech dejó expuestos en su propia web muestran que, entre marzo y junio de este año, sus anuncios con scripts del atacante aparecieron en más de 70.000 aplicaciones móviles y más de 120.000 sitios web. Citizen Lab calcula que entre cientos de miles y millones de usuarios acabaron en dominios de Candiru, donde podían ser perfilados sin saberlo.
Que uno de esos anuncios llegue a un dispositivo no implica infección, y los propios investigadores insisten en que no todos estaban armados con código malicioso. Lo que sí encontraron fueron impresiones publicitarias vinculadas a esta red en órganos legislativos europeos, en redes de la OTAN y la ONU, en proveedores de infraestructuras críticas en Australia y en fuerzas armadas y administraciones de Noruega y Suecia, según el informe.
El hallazgo sitúa el caso en un terreno sensible para las instituciones europeas, en un momento en que Bruselas examina otras formas de vigilancia digital en su territorio. La Unión Europea evalúa usar la red 5G y 6G como radar de vigilancia con tecnología de Huawei, muestra de hasta qué punto la infraestructura digital —de telecomunicaciones o publicitaria— se ha convertido en frente de disputa sobre soberanía tecnológica y seguridad.
El antecedente más directo es Pegasus, el spyware de la israelí NSO Group cuyo uso contra periodistas, activistas y políticos destapó en 2021 el consorcio Forbidden Stories junto a Amnistía Internacional y, también, Citizen Lab. Aquel escándalo alcanzó de lleno a España: en 2022 el propio laboratorio canadiense atribuyó a Pegasus la infección de los móviles de dirigentes independentistas catalanes, y el Gobierno reconoció que los teléfonos del presidente Pedro Sánchez y varios ministros habían sido intervenidos. AdFection muestra ahora una vía de entrada que prescinde incluso del mensaje señuelo.
Google y Beeswax cierran el grifo
Tras colaborar con Citizen Lab y la firma de seguridad publicitaria Confiant, Google bloqueó a Discover-Tech en sus plataformas de anuncios por incumplir sistemáticamente sus políticas, y activó avisos de Navegación Segura para las páginas vinculadas al grupo. Beeswax, la plataforma publicitaria propiedad de Comcast, también retiró a la empresa de su red, según detalla el informe.
IAB Europe, la asociación que agrupa al sector de la publicidad digital en el continente, mantiene a Discover-Tech suspendida de su lista global de proveedores certificados y no descarta una expulsión definitiva. Es una de las pocas vías de control sectorial disponibles, dado que la publicidad programática opera a través de decenas de intermediarios que dificultan trazar responsabilidades en tiempo real.
Esa misma opacidad sobre quién contrata qué servicios conecta con otros debates europeos sobre el control de proveedores tecnológicos sensibles, como el que rodea a los contratos públicos millonarios que once países europeos mantienen con Palantir. Marczak advierte de que se repetirán casos similares mientras la arquitectura de la publicidad en línea no cambie de forma estructural o las empresas del sector no filtren con mayor rigor a sus clientes.
Qué puede hacer un usuario corriente
El ataque está diseñado para seleccionar víctimas concretas, de modo que la probabilidad de que un usuario convencional sea objetivo es remota. Aun así, el propio laboratorio reconoce que ahora mismo no existe una forma completamente segura de exponerse a publicidad personalizada sin asumir cierto riesgo.
La única defensa que menciona Marczak es bloquear anuncios de forma extensiva, en navegadores y aplicaciones, y reforzar el bloqueo del rastreo publicitario en los dispositivos y en la red. El investigador apunta que deshabilitar los identificadores publicitarios del teléfono habría frenado este método concreto, aunque advierte de que buena parte de las pujas de Discover-Tech se dirigían a anuncios dentro de aplicaciones, un terreno que las extensiones de bloqueo del navegador no suelen cubrir.
