557 de 833. Esas son las pujas publicitarias que ganó un actor identificado como Shadow-Earth-79 en el tráfico de Starlink geolocalizado en México que observaron los investigadores: 66.9 %.
Son eventos publicitarios, no personas. Pero la concentración es tan alta que los especialistas la leen como un posible interés en rastrear a quienes se conectan con ese servicio de internet satelital.
Cómo funciona, sin tecnicismos
Cada vez que abres una página o una aplicación con publicidad, ocurre una subasta automática en milisegundos para decidir qué anuncio ves. En esa subasta, los compradores pueden recibir información como tu dirección IP, tu ubicación aproximada y los identificadores de tu dispositivo.
Esos datos permiten reconocer un mismo equipo cuando reaparece en otros espacios y seguir su actividad. La dirección IP, además, permite saber si una conexión pertenece a una red concreta, como la de Starlink.
Según el informe técnico que TrendAI publicó el 15 de octubre, el actor investigado compraba espacios publicitarios dirigidos a esas conexiones con una frecuencia inusualmente alta. Es lo que los investigadores interpretaron como un posible interés en rastrear a sus usuarios.
La cuenta, en limpio
Tabla: lo que midieron los investigadores en México
| Dato | Cifra |
|---|---|
| Pujas publicitarias ganadas observadas en tráfico de Starlink geolocalizado en México | 833 |
| Pujas ganadas por Shadow-Earth-79 | 557 |
| Parte del total | 66.9 % |
| Países donde se detectaron anuncios vinculados con infraestructura atribuida a Candiru | 9 |
Los registros corresponden a eventos publicitarios, no a usuarios únicos ni a un conteo de personas espiadas. Con esas cifras no se puede decir cuántas personas fueron rastreadas.
Lo que queda fuera de ese 66.9 %
Si Shadow-Earth-79 ganó 557 de las 833 pujas, las 276 restantes, 33.1 %, las ganaron otros compradores. Ese es el universo que observaron los investigadores en México, y no el total de subastas que ocurren a diario en las plataformas de publicidad.
La concentración es lo que llamó la atención: un solo actor reunió dos de cada tres pujas ganadas en una red concreta, lo que TrendAI describió como una frecuencia inusualmente alta.
Conviene leer la cifra con cuidado. Una puja ganada significa que un anuncio se mostró en una conexión. Una misma persona puede aparecer varias veces, por ejemplo si abre varias páginas, así que 557 pujas pueden corresponder a muchas menos de 557 personas. Por eso los investigadores no convierten esas pujas en un número de usuarios.
La secuencia de fechas
Tabla: del informe a la reacción de las plataformas
| Fecha | Hecho |
|---|---|
| 15 de octubre | TrendAI publica su informe técnico sobre anuncios invasivos como superficie de ciberespionaje |
| 27 de octubre | Se difunde el vínculo con Discover-Tech y la presencia de México en los registros |
| Después de las investigaciones | Google retira a Discover-Tech de su registro de proveedores y IAB Europe lo elimina de su lista |
Quiénes aparecen en la cadena
El informe nombra a varios actores. Conviene separar lo que cada uno aportó:
- TrendAI detectó la compra desproporcionada de anuncios dirigidos a conexiones de Starlink y le asignó el nombre en clave Shadow-Earth-79 a la presunta red de ciberespionaje.
- Discover-Tech es una empresa israelí de tecnología publicitaria. Una investigación periodística la vinculó con esa actividad, según seis personas familiarizadas con los hallazgos.
- Citizen Lab, de Toronto, reconstruyó que los anuncios traían instrucciones informáticas: al cargarse, el navegador contactaba un servidor de la empresa y le enviaba identificadores, y ese servidor decidía si devolvía código adicional para ese dispositivo.
- Confiant, empresa estadounidense de ciberseguridad, observó que algunos de esos anuncios abrían, sin mostrar nada al usuario, una conexión con infraestructura atribuida a Candiru, un proveedor de software espía. Incluyó a México entre nueve países donde detectó esos anuncios.
En dispositivos infectados de una cadena de noticias, Citizen Lab reconstruyó la secuencia: primero se contactaba la infraestructura publicitaria de Discover-Tech, luego un servidor de Candiru que revisaba el equipo y, al final, servidores de control del software espía. La infección no requería un clic, porque el código se ejecutaba al cargarse el anuncio y podía aprovechar fallas del navegador.
Lo que no demuestra
El hallazgo tiene límites que la propia investigación señala. Los anuncios llegaban por los sitios y aplicaciones que la gente abría, sin que eso implique una intrusión en los satélites o en las antenas de Starlink. Tampoco demuestra que esos dispositivos recibieran software espía.
Dicho de otro modo: lo que se documentó es un patrón de compra de anuncios. La infección con software espía se reconstruyó en otros casos, no en usuarios de Starlink en México.
Lo que ya cambió
Después de las investigaciones, Google retiró a Discover-Tech de su registro de proveedores y canceló su acceso a sus plataformas de intercambio publicitario. IAB Europe, la asociación europea del ecosistema de publicidad digital, eliminó a la compañía de su lista de proveedores.
Por qué importa en México
La investigación llega cuando Starlink crece. Al cierre de septiembre alcanzó 13.6 millones de suscriptores de consumo, tras sumar 1.6 millones en tres meses. La división de conectividad de SpaceX generó 5,248 millones de dólares de ingresos trimestrales, un aumento interanual de 69 %, según los reportes trimestrales de la empresa.
El dato de 1.6 millones en tres meses equivale a unos 17,500 suscriptores nuevos por día, en promedio. Con esa base, cualquier hallazgo sobre cómo se rastrea la conexión de esos usuarios tiene un público grande.
Qué puedes hacer
Estas son medidas generales de higiene digital, no una respuesta específica a este caso:
- Mantén actualizados el navegador y el sistema operativo, porque la infección descrita aprovechaba fallas del navegador.
- Usa un bloqueador de anuncios de una fuente reconocida.
- Desconfía de aplicaciones que muestran publicidad intrusiva y desinstala las que no uses.
Lo que no se sabe
- Cuántas personas en México fueron rastreadas, si es que alguna lo fue: los datos son de pujas publicitarias, no de usuarios.
- Quién contrató a Discover-Tech para esas compras, si es que hubo un cliente final.
- Si algún dispositivo de usuarios de Starlink en México recibió software espía.
- Si Discover-Tech o Candiru responderán a las acusaciones.
Lo que viene
El informe técnico de TrendAI, publicado el 15 de octubre, es el documento base de esta investigación. Mientras no se publique un conteo de dispositivos afectados, la pregunta sobre cuántas personas fueron rastreadas seguirá sin respuesta.
