El anuncio que te infecta el móvil sin un solo clic existe, y ya se ha usado contra Al Jazeera

• Nacho Grosso @grosso_nacho
• Cádiz (1973) Redactor y editor especializado en tecnología. Escribiendo profesionalmente desde 2017 para medios de difusión y blogs en español.
• • 19/10/2026 11:34
  • Actualizado: 19/10/2026 11:34

Cuando se habla de spyware que se cuela en el móvil, la imagen es la de un enlace sospechoso o un mensaje raro que alguien abría sin pensar. Un informe de Citizen Lab, el laboratorio de la Universidad de Toronto especializado en vigilancia digital, enseña otra forma de entrar mucho más incómoda, la publicidad que te aparece mientras lees una noticia o usas una app. Los investigadores han bautizado la técnica como AdFection y aseguran que es la primera confirmación técnica pública de este método.

Te atacan aunque no veas el anuncio

Piensa en lo que ocurre cada vez que abres una web o una aplicación con publicidad. En milisegundos se celebra una puja automática, la puja en tiempo real, para decidir qué anuncio te toca. Si una empresa la gana, su anuncio se carga en tu dispositivo y, según los investigadores, pide código a un servidor propio que identifica y perfila el aparato.

Si tu móvil resulta ser el que buscan, el spyware se instala sin que hagas nada. No tienes que pulsar el anuncio, abrir un mensaje ni cometer un error. Bill Marczak, investigador sénior de Citizen Lab, comenta que la víctima no notaría nada raro e incluso podría no llegar a ver ningún anuncio.

Discover-Tech es una empresa publicitaria registrada en Israel. Su plataforma, Controlium, permite según Citizen Lab desanonimizar, identificar e infectar dispositivos de forma automática en cuanto aparece un anuncio. El informe la define como un puente entre el mundo de la publicidad y la industria del spyware.

Un caso real, con Al Jazeera como objetivo

Los registros de red que aportó Al Jazeera fueron clave para reconstruir el ataque. Según Citizen Lab, al menos 45 dispositivos de la cadena fueron objetivo entre 2024 y 2025. Esos registros muestran un recorrido que va de la infraestructura de Discover-Tech a servidores de validación de Candiru y, de ahí, a los que controlan el spyware.

Citizen Lab atribuye el programa espía a Candiru, firma israelí de spyware, con un grado de confianza alto. Lo que no sabe es quién encargó los ataques, porque no ha identificado qué gobierno u otro cliente estaba detrás. Ni Discover-Tech ni Candiru respondieron a las peticiones de comentarios de los investigadores.

Millones de anuncios para unos pocos objetivos

Los registros de pujas que Discover-Tech dejó expuestos en su propia web dan una idea de la escala. Entre marzo y junio de este año, sus anuncios con scripts del atacante aparecieron en más de 70.000 aplicaciones móviles y más de 120.000 sitios web. Citizen Lab calcula que entre cientos de miles y millones de usuarios acabaron en dominios de Candiru, donde podían ser perfilados.

Que te aparezca uno de esos anuncios no significa que estés infectado, y los propios investigadores insisten en que no todos estaban armados. Lo que sí encontraron fueron impresiones suyas en redes de la OTAN y la ONU, órganos legislativos europeos, proveedores de infraestructuras críticas en Australia y fuerzas armadas y administraciones de Noruega y Suecia.

Google y compañía echan el cerrojo

Tras colaborar con Citizen Lab y Confiant, Google bloqueó a Discover-Tech en sus plataformas publicitarias por incumplir sistemáticamente sus políticas, y activó avisos de Navegación segura para las webs vinculadas al grupo. Beeswax, plataforma publicitaria propiedad de Comcast, también retiró a la empresa.

IAB Europe, la asociación del sector publicitario, mantiene a Discover-Tech suspendida de la lista global de proveedores y no descarta expulsarla de forma definitiva. Marczak avisa de que habrá más casos mientras la arquitectura de la publicidad online siga igual o las empresas no filtren mejor a sus clientes.

Qué puedes hacer tú si el anuncio ni se toca

Este tipo de ataque está pensado para elegir víctimas concretas, así que lo normal es que tú no seas el objetivo. Aun así, Citizen Lab reconoce que ahora mismo no hay una forma del todo segura de exponerse a publicidad personalizada.

La única defensa que menciona Marczak es bloquear los anuncios todo lo posible, en todas las webs y plataformas. Se recomienda también bloquear publicidad y rastreo en tus dispositivos y en la red, y apunta que bloquear los identificadores publicitarios habría frenado este método. Ojo con las apps, porque muchas pujas de Discover-Tech iban a anuncios dentro de aplicaciones, un terreno que las extensiones del navegador suelen dejar sin cubrir.