Citizen Lab revela que gobiernos explotan anuncios en línea para desplegar spyware de cero clic

Image: TechCrunch · Source

Investigadores de Citizen Lab descubrieron que desarrolladores de spyware vinculados a gobiernos usan plataformas de publicidad en línea para hackear dispositivos globalmente con spyware de cero clic, incluyendo incidentes que afectaron computadoras de Al Jazeera.

Investigadores de seguridad del Citizen Lab de la Universidad de Toronto han reportado que operadores de spyware vinculados a gobiernos están abusando de redes de publicidad en línea para lanzar ataques de spyware de cero clic. Su investigación destacó la plataforma de una empresa israelí, Discover-Tech, que sirve a fabricantes de spyware al permitir la entrega de anuncios maliciosos diseñados para infectar dispositivos objetivo en todo el mundo.

Según el informe de Citizen Lab de octubre de 2026, Discover-Tech se hace pasar por una firma legítima de publicidad pero funciona como intermediaria, conectando publicidad comercial con vendedores mercenarios de spyware como Candiru y Bindecy. Estas empresas producen spyware de cero clic capaz de comprometer dispositivos sin interacción del usuario, como abrir un mensaje o hacer clic en un enlace.

Los investigadores documentaron un ataque a al menos 45 computadoras Windows en el medio de comunicación Al Jazeera. Estos dispositivos fueron comprometidos durante 2024 y 2025 mediante exposición a anuncios en línea que contenían código malicioso oculto vinculado al spyware de Candiru.

Aunque los actores gubernamentales específicos detrás de estas campañas de hacking permanecen sin revelar, Citizen Lab enfatizó que este es el primer caso confirmado de spyware de cero clic respaldado por gobiernos que se difunde a través de canales de publicidad en línea. Esta revelación expone un riesgo potencialmente amplio para millones de dispositivos conectados.

Bill Marczak, investigador sénior de Citizen Lab, declaró: “Se ha hablado mucho de que los anuncios en línea pueden usarse para identificar y hackear automáticamente objetivos con precisión milimétrica, pero ahora por primera vez tenemos evidencia técnica concreta que muestra este proceso en acción.”

Citizen Lab también expuso varios detalles operativos sobre la plataforma de Discover-Tech, conocida internamente como Controlium. Las páginas de inicio de sesión accesibles públicamente revelaron accidentalmente código fuente, lo que permitió a los investigadores reconstruir el tablero de control usado para enviar contenido malicioso junto con anuncios directamente a objetivos específicos.

Además, el equipo descubrió registros de inicio de sesión no seguros para usuarios de Controlium, incluyendo empleados afiliados a Candiru y Bindecy, confirmando el uso directo de la plataforma por parte de conocidos fabricantes de spyware. También se hallaron miles de millones de registros de pujas publicitarias expuestos, mostrando que los anuncios se distribuyeron en decenas de miles de aplicaciones y sitios web desde marzo a junio de 2026. Estos anuncios alcanzaron dispositivos en sectores sensibles, incluyendo militar, gubernamental, infraestructura crítica y agencias cibernéticas, aunque no está claro cuántos resultaron en compromisos exitosos de dispositivos.

Una colaboración adicional con la firma de calidad publicitaria Confiant reveló campañas similares de malvertising que afectaron redes pertenecientes a la Agencia Internacional de Energía Atómica y a la Corte Penal Internacional.

Marczak advirtió que Discover-Tech probablemente representa solo una fracción de tales operaciones, instando a los posibles objetivos a desactivar el seguimiento de anuncios o emplear bloqueadores de anuncios para mitigar riesgos.

Ni Al Jazeera ni Discover-Tech respondieron a solicitudes de comentarios, y los intentos de contactar a la empresa matriz de Candiru, Integrity Labs, fueron infructuosos.

Esta investigación destaca una escalada significativa en la forma en que se entrega spyware sofisticado, explotando infraestructuras comerciales de anuncios para atacar silenciosa y precisamente a sus víctimas sin ninguna acción requerida de su parte, planteando preguntas urgentes sobre la seguridad digital y la privacidad en todo el mundo.