Una página legítima, un anuncio corriente y ningún clic: eso bastó para convertir la publicidad programática en un canal selectivo de vigilancia y, en casos confirmados, de infección con spyware. Citizen Lab denominó AdFection a la operación y documentó cómo infraestructura asociada a Discover-Tech aprovechó la subasta de anuncios para reconocer dispositivos, seguirlos y entregar código únicamente a objetivos elegidos.
La investigación no demuestra que cualquier anuncio pueda infectar cualquier equipo ni que cada impresión observada terminara en compromiso. Sí aporta la primera confirmación técnica pública de spyware mercenario distribuido mediante anuncios dirigidos sin interacción de la víctima. Para una empresa, la consecuencia es incómoda: el navegador ya no es solo una herramienta de trabajo; participa en un mercado de datos capaz de revelar quién está detrás de una conexión y de ejecutar contenido de terceros en milisegundos.
Qué confirmó la investigación
Citizen Lab publicó el 15 de octubre de 2026 un análisis basado, entre otras evidencias, en aproximadamente cuatro mil millones de registros de pujas publicitarias. Encontró anuncios vinculados con la operación en cerca de 200.000 sitios web y aplicaciones Android e iOS de decenas de países. La infraestructura dirigió millones de dispositivos a servidores asociados con Candiru —también conocida como Integrity Labs—, probablemente con fines de reconocimiento y seguimiento. Esa cifra no equivale a millones de infecciones.
La evidencia más grave apareció en Al Jazeera. Registros de red compartidos con Citizen Lab permitieron confirmar al menos 45 equipos Windows comprometidos durante 2024 y 2025. Reuters corroboró que la publicidad de Discover-Tech podía rastrear usuarios y que una parte fue usada para instalar spyware de Candiru. La diferencia entre alcance e impacto es esencial: una impresión indica exposición a la cadena; una redirección puede indicar selección o reconocimiento; la infección requiere evidencia adicional del exploit o del implante.
Tras la notificación, actores del ecosistema tomaron medidas: Google expulsó a Discover-Tech, IAB Europe suspendió su membresía y plataformas como Beeswax retiraron la cuenta. Es una respuesta relevante, pero reactiva. Una misma campaña puede comprar inventario a través de múltiples intermediarios, cambiar dominios y reservar la carga peligrosa para un conjunto pequeño de dispositivos, lo que reduce la visibilidad de revisores y sandboxes.
Cómo una subasta de anuncios se convierte en selector
Cuando una persona abre una web o una aplicación con publicidad, el espacio disponible puede ofrecerse mediante real-time bidding (RTB). En fracciones de segundo, intermediarios reciben señales como dirección IP, tipo de dispositivo, ubicación aproximada, identificadores y contexto de navegación. Los compradores deciden si pujan y el ganador entrega la creatividad o el código publicitario. Ese diseño fue creado para segmentar audiencias, pero también permite buscar un dispositivo concreto y responder de forma distinta al resto.
AdFection encadenó tres capacidades. Primero, la observación masiva de oportunidades publicitarias aportó datos para perfilar dispositivos. Después, el sistema comprobó si una impresión coincidía con el objetivo. Finalmente, el anuncio podía ejecutar JavaScript o redirigir el navegador hacia infraestructura controlada por el operador. Para la mayoría, la respuesta podía parecer inocua; para la persona seleccionada, abría una ruta hacia el exploit. El “zero-click” describe que no hacía falta pulsar el anuncio, no que cualquier visita produjera automáticamente una infección.
La misma impresión, dos desenlaces
Por qué el riesgo no pertenece solo a marketing
La cadena cruza dominios que suelen administrarse por separado. Marketing contrata medios y etiquetas; desarrollo integra SDK publicitarios; TI configura navegadores; redes filtra destinos; seguridad busca ejecución maliciosa; privacidad evalúa identificadores y transferencias. Si cada área observa solo su tramo, nadie responde por el recorrido completo desde la página visitada hasta el proceso ejecutado en el endpoint.
También cambia el modelo de amenaza para perfiles de alto riesgo. Periodistas, directivos, abogados, administradores, personal de defensa, activistas o negociadores pueden ser demasiado pocos para aparecer en una campaña masiva. Un adversario puede pagar por localizarles dentro de sitios cotidianos y reservar el exploit costoso para el instante adecuado. La ausencia de una oleada visible no reduce necesariamente el riesgo; puede indicar una operación selectiva.
Bloquear la publicidad puede disminuir superficie, pero no es una estrategia completa. Algunas aplicaciones dependen de contenido de terceros; los dominios cambian; una red doméstica o un dispositivo no gestionado puede quedar fuera del filtrado corporativo; y una vulnerabilidad del navegador sigue siendo explotable por otros canales. El objetivo real es reducir código innecesario, separar la navegación del sistema y conservar telemetría suficiente para investigar.
Un plan de control basado en exposición y consecuencia
1. Gobierne el navegador como software crítico. Estandarice versiones, fuerce actualizaciones, retire extensiones no aprobadas y aplique aislamiento de sitios o del navegador donde sea viable. CISA recomienda combinar navegadores seguros, bloqueo publicitario, aislamiento del sistema operativo y DNS protector frente al malvertising. Para perfiles expuestos, una instancia aislada o un entorno desechable puede limitar lo que ocurre después del renderizado.
2. Reduzca señales y contenido de terceros. Use políticas de seguimiento y bloqueo de anuncios con excepciones documentadas. Inventaríe SDK, píxeles y plataformas que operan en webs y aplicaciones propias. Marketing debe poder explicar qué datos salen, hacia qué intermediarios y con qué finalidad. Privacidad no es un anexo: menos identificadores disponibles también dificulta una selección precisa.
3. Observe la red con contexto. DNS seguro, SWG, proxy y SASE pueden bloquear infraestructura conocida y conservar dominios, redirecciones y tiempos. Pero una alerta aislada por dominio no confirma infección. Correlacione navegador, identidad, proceso, descarga y conexión posterior. Mantenga registros el tiempo suficiente para reconstruir una campaña lenta.
4. Detecte la ejecución en el endpoint. EDR/XDR debe vigilar procesos hijos del navegador, inyecciones, persistencia, volcados de credenciales y conexiones anómalas. Active capacidades reforzadas primero en grupos con mayor consecuencia. Un navegador actualizado reduce probabilidad; la detección y la respuesta limitan impacto cuando la prevención falla.
5. Prepare una investigación que preserve evidencia. Ante una redirección sospechosa, no reinstale inmediatamente el equipo sin capturar memoria, registros de EDR, historial DNS, artefactos del navegador y cronología. El aislamiento rápido es importante, pero destruir evidencia puede impedir saber si hubo selección, exploit o implante.
Priorizar por perfil, no desplegar de forma uniforme
Qué hacer si un usuario vio una redirección sospechosa
Primero, trate el caso como una hipótesis y preserve el equipo. Registre URL, hora, red, navegador, usuario y captura; aísle si existen indicadores de ejecución o conexión; consulte telemetría DNS, proxy y EDR; y busque el mismo patrón en otros dispositivos. Después, delimite si hubo solo impresión, carga de script, navegación a infraestructura sospechosa, explotación o persistencia. Cada nivel exige una respuesta distinta.
Un Análisis Forense Digital puede reconstruir la cronología y separar exposición de compromiso. Un Security GAP Assessment puede revisar si navegador, red, endpoint, publicidad y privacidad forman un control coherente. Y un Ethical Hacking autorizado puede comprobar el aislamiento y los recorridos del navegador sin reproducir ni operar spyware mercenario.
Las preguntas que debería llevar al comité
¿Qué personas reciben controles reforzados por su rol y no solo por su dispositivo? ¿Puede la empresa bloquear contenido publicitario en aplicaciones críticas sin romper la operación? ¿Qué SDK y etiquetas se ejecutan en propiedades propias? ¿Durante cuánto tiempo se conservan DNS, proxy y EDR? ¿Quién decide aislar un equipo de dirección? ¿La póliza, el proveedor de respuesta y el asesor jurídico contemplan spyware dirigido? ¿Marketing y privacidad participan en el inventario de ad tech?
Las respuestas deben expresarse en propietarios, registros y pruebas. Una lista de productos no demuestra que la cadena esté cubierta. Tampoco conviene prometer “protección total”: un exploit desconocido puede evadir controles. La meta defendible es reducir la probabilidad de selección, limitar la ejecución, detectar desviaciones y responder antes de que el adversario convierta acceso inicial en inteligencia útil.
Preguntas frecuentes
¿Un anuncio puede infectar sin clic? Sí, si su renderizado entrega código y existe una cadena de vulnerabilidades explotable. AdFection aporta casos confirmados, pero eso no significa que cada anuncio o toda redirección produzca una infección.
¿Un bloqueador de anuncios resuelve el problema? Reduce exposición y es especialmente valioso en perfiles de riesgo, pero debe combinarse con actualización, aislamiento, DNS/SWG, telemetría de endpoint y respuesta.
¿Afectó a empresas de Colombia o España? Las fuentes muestran alcance internacional de la infraestructura, no una lista completa de víctimas ni infecciones confirmadas en esos países. Una organización debe evaluar su propia exposición sin convertir presencia publicitaria en atribución.
¿Por qué RTB es sensible? Porque distribuye señales detalladas a múltiples participantes y permite tomar decisiones sobre una impresión concreta en tiempo real. Esa capacidad comercial puede reutilizarse para reconocimiento y entrega selectiva.
Fuentes y límites
La base principal es Citizen Lab, “How Discover-Tech Turned Targeted Ads into a Pipeline for Spyware”, publicado el 15 de octubre de 2026. La confirmación periodística independiente procede de Reuters. Para controles defensivos se consultó la guía de CISA sobre navegadores y malvertising.
Las cifras describen observaciones de la investigación, no un censo de infecciones. La atribución técnica puede evolucionar y los indicadores pierden vigencia. Este artículo no sustituye una investigación forense, una evaluación jurídica ni las recomendaciones del fabricante del navegador o del EDR.
