Abrir una app no requiere un clic. El spyware llegó por publicidad.
El 15 de octubre, Citizen Lab publicó la primera confirmación técnica pública de un ataque de spyware mercenario zero-click entregado a través de publicidad dirigida[1]. Lo llamó AdFection[1]. No hay enlace sospechoso, no hay descarga, no hay click: abrir un sitio web o una app es suficiente para detonarlo[2].
(El nombre es un juego de palabras: ad + infection.)
La cadena de responsabilidad tiene cuatro eslabones y ninguno se rompió[1].
1. El operador. Discover-Tech, empresa de adtech israelí fundada en 2020 que se presenta como anunciante legítima[1]. Citizen Lab encontró en su plataforma Controlium un módulo —“OP Creative Upload”— que permite subir contenido publicitario y adjuntarlo a un tag que el cliente pega en su propia campaña[1]. El mismo cliente que compra banners compra también el canal de infección.
2. El sello institucional. Google e IAB Europe listaron a Discover-Tech como vendor aprobado desde 2020 sin saber qué hacía con ese acceso[2]. Seis años de aval: ese detalle es el que más pesa en cualquier revisión de procurement.
3. La escala. Citizen Lab analizó casi 4 mil millones de registros de bidding y encontró anuncios de Discover-Tech en casi 200.000 sitios web y apps Android/iOS únicos en docenas de países, durante un periodo de cuatro meses entre marzo y junio de 2026[1]. El Register desglosa la misma cifra como más de 70.000 apps y 120.000 sitios web[2]. Entre los destinos hubo redes pertenecientes a agencias gubernamentales, organizaciones de defensa y NATO — sin evidencia de infección, pero con capacidad de perfilar dispositivos en esas redes[2].
4. El payload. Candiru, el desarrollador israelí rebautizado como Integrity Labs. Citizen Lab rastreó ataques contra al menos 45 dispositivos de Al Jazeera en 2024 y 2025, entregados vía anuncios de Discover-Tech[2]. En su análisis encontró un conjunto de 305 dominios de servidor usados como validadores, varios públicamente atribuidos a Candiru por Sekoia y Recorded Future[1].
El punto que más importa no es el payload. Es que la infraestructura publicitaria también condujo covertemente millones de dispositivos a contactar servidores asociados a Candiru, probablemente para tracking y reconocimiento a escala[1]. Citizen Lab también vincula a Discover-Tech con otros actores de vigilancia mercenarios — Intelos y Bindecy— y con un actor no identificado que denominaron DARK CARTOGRAPHER, que explota vulnerabilidades en múltiples operadores móviles para vincular identificadores publicitarios con números telefónicos[1].
La respuesta de la industria llegó por el lado del inventario. Google e IAB Europe revocaron el estado de vendor aprobado[3]. Beeswax, Vungle y Eskimi cortaron la relación; la última campaña de Eskimi se detuvo el 6 de agosto de 2026[1]. Citizen Lab envió solicitudes de comentario a 13 empresas y publicó sus respuestas completas[1]. Su recomendación a la industria publicitaria es una política de default-deny para vendors que operan en jurisdicciones con baja rendición de cuentas[1].
Las tres cláusulas
Si en tu operación hay un proveedor de analítica, un integrator, o una plataforma que enruta datos a terceros que tú no nombraste, tu RFP necesita esto por escrito[1].
Cláusula 1 — Inventario de partners y plataformas. El proveedor se compromete a entregar, con cadencia trimestral, la lista completa de cada socio, supply-side platform, exchange y marca a través de los cuales enruta datos, y a notificar en 24 horas cualquier revocación de aprobación. El problema de Discover-Tech no fue técnico: fue que nadie tenía el mapa de con quién hablaba ese proveedor[1].
Cláusula 2 — Notificación de extracción. Cualquier extracción de datos durante diagnóstico o troubleshooting se notifica al cliente en 24 horas, con receptor identificado y marca de tiempo. Es la misma lección del caso Alfozan, publicado hoy mismo: el material que se extrae “para soporte” es material que sale de tu perímetro.
Cláusula 3 — Revocación trazable. Cuando un proveedor pierde un estado de aprobación, de certificación o de cumplimiento en cualquier eslabón de su cadena, ese evento se reporta en 24 horas con evidencia, no con un comunicado de prensa[3]. Cinco empresas perdieron el suyo — Google, IAB Europe, Beeswax, Vungle y Eskimi — y ninguna notificación llegó al cliente final. Eso es exactamente el hueco que la cláusula cierra.
P.D. ¿Tu RFP de analítica o integración de video tiene hoy una cláusula que te obligue a saber con quién más habla tu proveedor? Si la respuesta es “no, solo con el proveedor”, tienes el mismo mapa incompleto que tenía el mercado publicitario durante seis años[2].
📰 Fuentes: [1] Citizen Lab, “Exposing AdFection”, 15-oct-2026 · [2] The Register (Carly Page), 15-oct-2026 · [3] State of Surveillance, 18-oct-2026.
Fuentes
- Citizen Lab — Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware — https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
- The Register — Carly Page, Spyware vendors found a way to make targeted ads even worse — https://www.theregister.com/security/2026/10/15/spyware-vendors-found-a-way-to-make-targeted-ads-even-worse/5303334
- State of Surveillance — Daily Surveillance Briefing, October 18, 2026 — https://stateofsurveillance.org/news/daily-surveillance-briefing-october-18-2026/
Sources: [1] https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware — Citizen Lab — Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware (Oct 15 2026) [2] https://www.theregister.com/security/2026/10/15/spyware-vendors-found-a-way-to-make-targeted-ads-even-worse/5303334 — The Register — Carly Page, Spyware vendors found a way to make targeted ads even worse (Oct 15 2026) [3] https://stateofsurveillance.org/news/daily-surveillance-briefing-october-18-2026/ — State of Surveillance — Daily Surveillance Briefing Oct 18 2026