Llevamos años oyendo que la publicidad en internet sabe demasiado de nosotros. Ahora hay pruebas técnicas de algo más inquietante: ese mismo sistema puede usarse para entregar software espía a una persona concreta, sin que tenga que pulsar nada. El 15 de octubre de 2026, el Citizen Lab de la Universidad de Toronto publicó un informe que, según sus autores, es la primera confirmación pública de software espía mercenario entregado mediante anuncios segmentados. A la técnica la han bautizado AdFection.

El caso documentado afecta a al menos 45 ordenadores con Windows de la cadena Al Jazeera, infectados entre 2024 y 2025 con el software espía de Candiru, una empresa israelí que hoy opera con el nombre de Integrity Labs. Pero lo relevante no es solo quién cayó, sino el camino: un anuncio normal y corriente, servido por la infraestructura publicitaria de siempre.

Cómo un anuncio se convierte en una puerta trasera

Para entenderlo hay que mirar cómo se reparte la publicidad. Cada vez que abres una web o una aplicación gratuita con anuncios, se celebra en milisegundos una subasta automática (lo que en el sector se llama puja en tiempo real). Distintas plataformas compran ese hueco en función de lo que saben del dispositivo que lo va a ver: su identificador publicitario, sus cookies, su dirección IP.

Según Citizen Lab, la empresa Discover-Tech operaba una de esas plataformas compradoras, llamada MyDSP, conectada con grandes mercados de anuncios. Encima había montado un panel de control, Controlium, que permitía a sus clientes del sector del software espía hacer algo muy concreto:

• Subir los identificadores de los objetivos: el identificador publicitario del móvil, el de las cookies del navegador o la dirección IP.
• Pujar por espacios publicitarios en webs y apps donde esos dispositivos pudieran aparecer.
• Cuando el anuncio se cargaba, pedir un pequeño programa en JavaScript a los servidores de Discover-Tech.
• Si el visitante coincidía con un objetivo, ese código lo redirigía a la infraestructura del atacante. Si no, recibía contenido inofensivo.

Ese último punto es la clave del sigilo. Como casi todo el mundo veía un anuncio corriente, los escáneres de seguridad que revisan la publicidad no encontraban nada raro. El informe señala además que los servidores devolvían el código malicioso una sola vez a cada identificador concreto, lo que complica aún más reconstruir el ataque después.

Una escala que asusta

Lo más llamativo es el alcance potencial. Los investigadores encontraron anuncios con los cargadores de código de Discover-Tech en 75.373 aplicaciones de Android e iOS y en 120.768 sitios web, a partir de miles de millones de registros de pujas. Eso no significa que todos esos dispositivos fueran infectados (la mayoría solo vio publicidad normal), pero sí que el canal de entrega estaba ahí, disponible en una parte enorme del internet cotidiano.

Tampoco se trataba de un actor marginal. Según el informe, Discover-Tech tuvo durante años las certificaciones de Google y de IAB Europe, la patronal europea de la publicidad digital, lo que le abría la puerta a los grandes mercados de anuncios. Citizen Lab también identifica a otro fabricante de software espía, Bindecy, como usuario de la plataforma. TechCrunch recogió las palabras del investigador Bill Marczak, autor principal del estudio, que resume bien el cambio: por primera vez hay pruebas técnicas concretas de este proceso en acción.

La letra pequeña: qué sabemos y qué no

Hay huecos importantes. El informe público no detalla qué vulnerabilidades de Windows o del navegador se aprovecharon para instalar el programa espía ni si ya están corregidas. Sí describe parte del funcionamiento de una muestra hallada en los equipos afectados, que se camuflaba en el sistema para sobrevivir a los reinicios. Las empresas señaladas no respondieron a las preguntas de la prensa.

Lo que sí ha cambiado tras la publicación: Google cortó el acceso de Discover-Tech a sus mercados de anuncios y añadió los dominios del atacante a Navegación Segura, y otras plataformas publicitarias hicieron lo mismo. Google e IAB Europe también la retiraron de sus listas de proveedores aprobados.

Para el usuario medio, el riesgo directo sigue siendo bajo: este tipo de herramientas son caras y se usan contra objetivos seleccionados, sobre todo periodistas, activistas o personal de organismos sensibles. Aun así, las recomendaciones de los expertos sirven para cualquiera que quiera reducir su exposición:

• Desactivar o restablecer el identificador publicitario del móvil, y limitar el seguimiento de anuncios en el sistema.
• Usar bloqueadores de anuncios de confianza y navegadores centrados en la privacidad.
• Mantener sistema operativo, navegador y aplicaciones actualizados.
• En empresas y redacciones, filtrar el tráfico publicitario y de rastreo en la red corporativa.

Por qué importa

Este caso convierte en hecho comprobado algo que hasta ahora era sobre todo una sospecha: los mismos datos que permiten enseñarte un anuncio de zapatillas sirven para localizar tu dispositivo entre millones y entregarle código malicioso. El problema no está en un único virus, sino en un ecosistema de subastas automáticas en el que intervienen cientos de intermediarios con poca supervisión. Que una empresa certificada durante años haya podido ofrecer este servicio obliga a la industria publicitaria a revisar a quién deja entrar, y recuerda a los usuarios que bloquear el rastreo no es solo una cuestión de privacidad, sino también de seguridad.