El Citizen Lab demuestra por primera vez que un anuncio puede instalar el spyware AdFection en un móvil sin un solo clic. Los investigadores de la Universidad de Toronto han documentado el método, le han puesto nombre y han señalado a la pieza que lo hace posible: Discover-Tech, una firma israelí que se presenta como agencia publicitaria. El anuncio ya no es el cebo, es el arma.
La investigación, difundida este jueves, describe a esa compañía como facilitadora de varios socios de espionaje mercenario, entre ellos Candiru, la firma sancionada por Washington desde 2021. Los anuncios llegaron a redes del Departamento de Defensa de Estados Unidos, la OTAN, el Organismo Internacional de Energía Atómica y varias agencias de ciberseguridad. La campaña infectó al menos 45 dispositivos de Al Jazeera con spyware atribuido con alta confianza a Candiru.
Le adelanto la parte incómoda: quien diseñó este sistema no necesitaba que usted abriera nada. Bastaba con que la página cargara el anuncio. La industria publicitaria habilitó sin querer —y también sin mirar— una infraestructura de vigilancia de alcance planetario.
El corazón de AdFection es una plataforma llamada Controlium. Según el informe publicado por el Citizen Lab, permite a los socios de vigilancia desanonimizar, tomar la huella digital e infectar el dispositivo en el mismo instante en que se renderiza el anuncio. Es una infección zero-click, sin interacción de la víctima. Sin permiso. Sin aviso.
Anatomía de AdFection: el anuncio que ejecuta el ataque antes del clic
La secuencia técnica es sencilla, y por eso mismo devastadora. El anuncio dirige el terminal a los servidores de Candiru de forma encubierta, colgado de los identificadores publicitarios que viajan en cada petición de página. El spyware de esa casa, que Microsoft documentó en 2021 con el nombre de DevilsTongue, toma el control remoto del dispositivo, extrae datos, abre micrófono y cámara y se desplaza lateralmente hacia el resto de la red del objetivo.
Sin clic, sin enlace y sin sospecha: el anuncio infecta mientras el lector mira otra cosa, y eso reescribe las reglas del oficio.
El clic ya no hace falta.
La vigilancia ya no necesita convencer a nadie: le basta con comprar el espacio exacto donde usted va a mirar.
Las cifras de difusión explican la alarma. Entre marzo y junio, los anuncios de Discover-Tech se mostraron en 120.000 webs y 70.000 aplicaciones, según el recuento de los investigadores. Wolfie Cristl, investigador senior del Citizen Lab, lo ha calificado de desastroso: los proveedores publicitarios no detectaron la operación durante años. Su colega Jerome Dangu, de la firma de seguridad publicitaria Confiant, añade el diagnóstico de fondo: el sector se ha optimizado contra el fraude y el malware que roba dinero, nunca contra el que roba poder.
La reacción llegó después del informe, y no antes. Google ha retirado a Discover-Tech de sus registros de proveedores y le ha cortado el acceso a sus plataformas; IAB Europe la ha eliminado de su lista global de vendedores. Ninguna de las cuatro compañías señaladas —Discover-Tech, Candiru, Bindecy e Intelos— respondió a las cartas del Citizen Lab, según el propio informe.
El historial de Candiru y el contratista estadounidense que nadie quiere nombrar
Candiru no es una desconocida. Fue incluida en la lista de entidades del Departamento de Comercio de EEUU en 2021, el mismo año en que Microsoft y el propio Citizen Lab documentaron sus implantes contra periodistas y activistas. En el mercado mercenario comparte vitrina con NSO Group, la casa de Pegasus, y con Intellexa, la de Predator. Discover-Tech se registró en 2020 y, según la investigación, facilita spyware mercenario desde al menos 2024.
Los nombres que rodean al entramado completan el mapa. Bindecy opera como firma de intrusión mercenaria. Intelos se presenta como agencia de inteligencia publicitaria, es decir, de datos de audiencia. Y por encima de todos ellos está DARK CARTOGRAPHER, un actor que el Citizen Lab describe como distinto y que usa la infraestructura de Discover-Tech para explotar vulnerabilidades en operadores móviles y cruzar identificadores publicitarios con números de teléfono. Desanonimización masiva, en plata.
Ese rastro se remonta a 2019 y, según el informe, conecta con un contratista del Gobierno de Estados Unidos cuya identidad no se desvela. Los propios investigadores admiten que es raro ver solapamientos tan directos entre el mercado mercenario y la inteligencia estatal. Citizen Lab anuncia un segundo informe monográfico sobre DARK CARTOGRAPHER.
Ahí estará la parte que hoy no se puede contar.
Y conviene decirlo con precisión: Citizen Lab no atribuye los ataques de AdFection a ningún Estado concreto. Esa cautela es la correcta. En ciberguerra, la atribución sin respaldo técnico cruzado es propaganda; con respaldo, es inteligencia.
Dossier Moncloa: Ojos en la Sombra
El vector es un ciberataque con entrega zero-click a través de publicidad programática. El exploit no viaja en un correo ni en un documento adjunto: viaja en el hueco publicitario de una web legítima. La cadena de suministro del adtech funciona ya como plataforma de infección industrial, y ahí está la verdadera novedad del caso.
Quien ataca es un conglomerado privado —Discover-Tech como facilitador, Candiru como fabricante de espía, y Bindecy e Intelos como piezas del negocio— al que se suma DARK CARTOGRAPHER, actor en la sombra con un contratista de inteligencia estadounidense en su rastro. Quien defiende son las víctimas directas: Al Jazeera, el Departamento de Defensa, la OTAN, el OIEA y las propias agencias de ciberseguridad. Quien mira es Europa, y también el CNI y el CCN-CERT, que llevan años anotando el ecosistema publicitario como agujero en la superficie de ataque de cualquier administración.
España entra en este mapa por la puerta de la OTAN. Los anuncios de Discover-Tech circularon por redes aliadas, y el perímetro que atravesaron es el mismo sobre el que se apoya buena parte de nuestra infraestructura crítica. No hay confirmación pública de dispositivos españoles comprometidos y no voy a fabricarla. Eso sí: si usted gestiona seguridad en una administración, en una empresa pública o en una redacción, este informe debería estar en su bandeja antes del lunes. La nota técnica del CCN-CERT aún no recoge este vector, y sería el primer sitio donde debería aparecer.
A juzgar por la naturaleza de los objetivos, estimo que el material alcanzable en terminales del Departamento de Defensa, la OTAN y el OIEA tendría clasificación de Secreto. No es un dato oficial: es una estimación de oficio, y como tal la firmo.
El precedente está a la vista. Candiru entró en la lista de entidades estadounidenses en 2021, el año en que Microsoft puso nombre a sus implantes. Antes fue Hacking Team, en 2015, con su catálogo filtrado al aire; después, NSO y Pegasus. La lección se repite: el mercado mercenario sobrevive a cada sanción cambiando de envoltorio y de marca. Lo veo como un salto de categoría, no como una campaña más. Ya advertí en El quinto elemento que el próximo 11S empezaría con un clic; ahora resulta que ni el clic va a ser necesario.
La debilidad del análisis hay que decirla en voz alta. Citizen Lab no atribuye AdFection a ningún Estado y deja DARK CARTOGRAPHER para un segundo informe. Sin esa pieza, cualquier acusación directa a Washington o a Tel Aviv es especulación de sobremesa. Prefiero la versión honesta: sabemos quién vende, quién facilita y a quién le sirve el negocio.
El calendario marca el resto. El informe monográfico sobre DARK CARTOGRAPHER llegará en las próximas semanas y de él dependerá que el foco pase del mercado privado a la inteligencia estatal. En paralelo, ENISA y las autoridades europeas de protección de datos tienen sobre la mesa un ecosistema de 120.000 webs que nadie audita. Alguien debería empezar por ahí.
