Nadie tuvo que hacer clic en nada. Según Citizen Lab, a equipos de Al Jazeera les bastó con que se mostraran unos anuncios comprados en línea para quedar infectados con software espía.
El laboratorio de la Universidad de Toronto publicó el jueves 15 de octubre de 2026 su informe sobre Discover-Tech, una empresa israelí que se presenta como plataforma publicitaria. Según el informe, esa empresa conecta a los fabricantes de spyware mercenario (software espía que venden empresas privadas) con el ecosistema de la publicidad en línea.
Nadie tuvo que hacer clic en nada.
Lo que Citizen Lab llama AdFection
El laboratorio describe el caso como la primera confirmación técnica pública de un ataque de spyware mercenario de cero clics entregado mediante publicidad dirigida. «Cero clics» quiere decir que la víctima no abre un enlace ni descarga un archivo.
Según el informe, equipos de Al Jazeera fueron infectados con spyware de la empresa Candiru mediante anuncios que compró Discover-Tech. TechCrunch agrega que al menos 45 computadoras con Windows de la cadena fueron comprometidas en 2024 y 2025.
La plataforma se llama Controlium. De acuerdo con Citizen Lab, permite a sus clientes desanonimizar, tomar huellas digitales e infectar automáticamente dispositivos en el momento en que se muestran los anuncios.
El investigador senior Bill Marczak, de Citizen Lab, dijo a TechCrunch que se hablaba mucho de que los anuncios en línea podían servir para identificar y hackear objetivos con precisión, pero que ahora, por primera vez, hay evidencia técnica concreta de ese proceso en acción.
Cuánto se vio
Para medir el alcance, el laboratorio analizó 4,000 millones de registros de pujas publicitarias. Una puja es el momento en que se subasta cada espacio de anuncio que aparece en una página o aplicación.
Con esos registros vio anuncios de Discover-Tech en unos 200,000 sitios y aplicaciones únicos, de decenas de países, entre marzo y junio de 2026.
| Medida | Cifra |
|---|---|
| Registros de pujas analizados | 4,000 millones |
| Sitios y aplicaciones únicos con anuncios de Discover-Tech | unos 200,000 |
| Periodo observado | marzo a junio de 2026 |
| Países con anuncios que llegaron a redes de interés | más de 20 |
| Computadoras de Al Jazeera comprometidas (TechCrunch) | al menos 45 |
Fuente: Citizen Lab y TechCrunch.
Según Citizen Lab, los anuncios llegaron a redes de la Organización del Tratado del Atlántico Norte (OTAN), la Organización de las Naciones Unidas (ONU), el Parlamento Europeo, ministerios de defensa, bancos centrales e infraestructura crítica en más de 20 países. TechCrunch añade al Organismo Internacional de Energía Atómica y a la Corte Penal Internacional. El informe habla de anuncios que llegaron a esas redes; el caso de infección confirmada que recoge es el de Al Jazeera.
Además de Candiru, el informe vincula a la plataforma con Bindecy, Intelos y un actor llamado DARK CARTOGRAPHER, que relaciona identificadores publicitarios con números telefónicos.
Quién cortó el acceso
Discover-Tech figuraba en las listas de proveedores certificados de Google y de IAB Europe, según el laboratorio, hasta octubre de 2026, cuando ambas la retiraron. Google, IAB Europe, Beeswax, Vungle (Liftoff) y Eskimi cortaron su acceso después de la divulgación.
El informe recomienda una investigación regulatoria a Discover-Tech y a Candiru, reformas estructurales en el ecosistema publicitario, más verificación de las plataformas por parte de los proveedores de anuncios y mitigaciones para los defensores.
Para quienes puedan ser blanco por su trabajo, TechCrunch recoge un consejo de Marczak: desactivar el rastreo publicitario o bloquear anuncios.
