Citizen Lab y Confiant han documentado AdFection, una técnica que convierte los anuncios segmentados en un vector de spyware mercenario sin clic. El implante no exige que la víctima pulse nada: viaja dentro del anuncio, se sirve en una subasta publicitaria ordinaria y aterriza en el dispositivo antes de que nadie sospeche.
El vector: de la subasta publicitaria al implante cero clic
El informe lo difundió en las últimas semanas el laboratorio de la Universidad de Toronto junto a la firma de seguridad publicitaria Confiant. Lo que describen no es un fallo puntual de una plataforma, sino una cadena de suministro entera puesta al servicio del espionaje. El anunciante malicioso compra impresiones dirigidas a un perfil muy concreto —cargo, sector, geolocalización, modelo de dispositivo— y, en el hueco donde debería ir la creatividad comercial, coloca un exploit.
Permítame el símil del oficio. Durante décadas, el dead drop fue un hueco en la pared de un barrio tranquilo y el brush pass, un roce calculado en un mercado. Hoy el buzón muerto es un ad exchange y el agente que lo vacía no necesita pasaporte falso ni coartada. La publicidad segmentada es la puerta de servicio del ciberespionaje, y además factura por impresión.
Fíjese usted en el nombre que se repite: Discover-Tech, una red publicitaria cuyas impresiones llegaron a alcanzar redes gubernamentales de Estados Unidos. Ese detalle es el que convierte un problema de privacidad en un asunto de contrainteligencia. Discover-Tech figuraba además en las listas de proveedores ‘certificados’ y ‘aprobados’ que mantenían Google y la patronal europea IAB Europe. Es decir: el control de acceso del sector lo superó una empresa señalada por repartir spyware.
El senador demócrata Ron Wyden lleva años sosteniendo que el adtech es una amenaza de seguridad nacional, y el informe le ha dado munición. Permitir anuncios segmentados en dispositivos del Gobierno es una invitación abierta a espías y criminales. Es el equivalente digital a dejar todas las puertas y ventanas sin cerrar en una instalación gubernamental sensible’, declaró a CyberScoop. Su colega Cory Booker añadió que el trabajo ‘subraya el riesgo creciente del spyware y los métodos cada vez más sofisticados para rastrear y atacar a las personas en internet’.
El espionaje de élite ya no necesita una embajada: le basta con ganar la subasta de impresiones que su objetivo abre cada mañana.
Los dos senadores presentaron en 2023 una ley para prohibir que las redes publicitarias segmentaran a partir de datos personales. No pasó de la introducción. La autorregulación del sector lleva una década llegando tarde, y esta vez el retraso se mide en dispositivos infectados. Varias agencias federales ya han bloqueado anuncios en sus equipos o han recomendado hacerlo; otras siguen discutiendo si esto es un asunto de privacidad o de seguridad del Estado.
Conviene una precisión que el ruido suele atropellar: el informe no atribuye AdFection a ningún Estado concreto. Señala a Candiru, un proveedor de spyware mercenario que ya había aparecido en el mapa de Citizen Lab, y a Discover-Tech como la infraestructura que transportaba la carga. En el oficio eso se llama tener el fusil y tener el coche; quién paga la gasolina es otra conversación, y nadie la ha documentado todavía.
Google cerró la puerta; IAB Europe dice que la puerta no estaba rota
La respuesta de la industria merece leerse con calma, porque describe el problema mejor que el informe. Google, que participó en la investigación, sostiene que expulsó a Discover-Tech en cuanto tuvo pruebas de que su infraestructura publicitaria estaba ligada al spyware. Sus sistemas automáticos, dice, detectaron más del 99% de los anuncios que violaban sus políticas antes de llegar a los usuarios el año pasado. Google actuó cuando pudo demostrar el vínculo técnico, no cuando tuvo la sospecha. En un negocio que sirve miles de millones de impresiones diarias, esa diferencia separa una red limpia de una red cómplice por omisión.
La patronal europea fue más allá. Lauren Wakefield, su directora de marketing y comunicación, defendió que los hallazgos ‘no demuestran que la infraestructura publicitaria esté rota’, sino un posible mal uso de tecnologías y funcionalidades inherentes a la web, y recordó que perseguir actividades ilícitas corresponde a las autoridades competentes. Añadió que las recetas únicas no siempre encajan: los requisitos deben ser proporcionales al riesgo de cada empresa.
No le falta parte de razón, y lo digo sin ironía: exigir a una ad network mediana el mismo nivel de contramedidas que a un hiperescalador es irreal. El problema es que esa proporcionalidad se aplica siempre hacia abajo. Los grandes intermediarios certifican, los pequeños cumplen y el anunciante malicioso entra por donde nadie audita.
En la lista de silencios hay un nombre que pesa. Microsoft guarda silencio sobre Xandr, su sistema publicitario: no respondió a Citizen Lab y tampoco atendió las preguntas de CyberScoop. Beeswax, Vungle y Eskimi sí cortaron el acceso a Discover-Tech; la firma de Redmond, de momento, no ha explicado qué hizo con una red que operaba dentro de su ecosistema.
Silencio administrativo, que diría un juez.
Nada de esto nace en el vacío. Candiru ya fue documentado por Citizen Lab en 2021 bajo el nombre de DevilsTongue, un implante que se distribuía mediante portales de noticias falsos. Pegasus necesitó operadores, servidores y una cartera de clientes estatales; Predator, de Intellexa, se apoyó en enlaces de un solo uso. Toda arma mercenaria acaba necesitando un cartero, y el cartero más barato del mundo es la publicidad programática: nadie sospecha de un hueco comercial.
Lo escribí en El quinto elemento hace más de una década: el próximo 11S empezará con un clic. Entonces pensaba en un correo; hoy pienso en un anuncio de zapatillas.
Por eso el informe no pide parches. Pide que las plataformas compartan datos de amenazas, mejoren la verificación de socios, auditen los registros de proveedores, y bloqueen por defecto a los vendedores de jurisdicciones permisivas con el abuso. Es una lista razonable que llevaba años escrita en cualquier manual de contrainteligencia. La novedad es que ahora se puede señalar con nombres propios.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es la cadena de suministro publicitaria. No hay zero-day espectacular ni puerta trasera exótica: hay una subasta que acepta dinero de cualquiera y una verificación de socios que en la práctica es un formulario. En el oficio llamaríamos a esto penetración por la puerta de carga: se entra por donde entra la mercancía, no por la puerta principal.
Quien ataca es Candiru; quien facilita, Discover-Tech. Sin atribución estatal confirmada, la lectura prudente es la de un proveedor privado que vende a clientes estatales o paraestatales, con la red publicitaria como transportista negligente o cómplice. En el lado defensivo, Citizen Lab y Confiant documentan; los CERT nacionales —el CCN-CERT en el caso español— serían los llamados a incorporar la publicidad programática a su modelo de amenaza. Como terceros interesados figuran Google, IAB Europe y Microsoft, cada uno con su grado de incomodidad.
Estimo un nivel de clasificación Confidencial en lo que respecta a la identidad de los objetivos alcanzados en redes gubernamentales. El informe es público, pero el dato de qué funcionario abrió qué impresión y desde qué dispositivo no lo es, y en manos de un servicio extranjero vale más que cualquier informe de atribución.
El precedente que más se parece a esto no es Stuxnet, sino el caso Candiru de 2021: un proveedor pequeño, agresivo y con clientela opaca al que Citizen Lab desnudó en dos tandas. La diferencia es que entonces el vector era un portal de noticias falsas; ahora es el mecanismo que sostiene económicamente internet. Y aquí está mi punto: mientras la conversación siga siendo sobre privacidad, la contrainteligencia llegará tarde. En España el debate sobre publicidad segmentada se ha quedado en el terreno del consentimiento y el dato personal; casi nadie lo ha trasladado al de la seguridad del Estado, y no veo prisa.
Tampoco conviene dramatizar la atribución. Un informe técnico sólido no equivale a una acusación formal, y quien haya seguido el asunto Pegasus sabe que las pruebas tardan años en llegar a un juzgado. La debilidad de este trabajo es la de siempre: no hay víctima nominada, no hay país señalado, no hay expediente abierto. La fortaleza es que la técnica está descrita y es reproducible.
Así que apunte usted dos fechas: la respuesta de Microsoft sobre Xandr y cualquier movimiento de Bruselas al amparo del Reglamento de Ciberseguridad. Si ninguna llega antes de que acabe el año, la conclusión será la misma que en 2023 con la ley de Wyden y Booker: el sector seguirá certificándose a sí mismo mientras el anuncio de turno instala un implante en el móvil de un funcionario.
