Cuando los anuncios son armas: vigilancia cero-click
Un laboratorio de Toronto descubrió que el spyware israelí dirigía a periodistas de Al Jazeera a través de redes publicitarias legítimas, revelando cómo la infraestructura de publicidad digital que conecta marcas con audiencias ahora permite vigilancia masiva.
Los anuncios eran la carga útil
Un periodista de Al Jazeera en Doha estaba redactando una historia en su portátil Windows. Un anuncio se cargó en la esquina de la pantalla. El malware se instaló sin un solo clic. Sin enlace sospechoso. Sin descarga dudosa. Basta con ver el anuncio.
Esto no es ciencia ficción. Es el hallazgo de Citizen Lab, el grupo de investigación con sede en Toronto que publicó su investigación el 15 de octubre de 2026. La historia expone algo cada vez más invisible en la infraestructura digital: la convergencia de la tecnología publicitaria legítima y la vigilancia depredadora.
La cadena de suministro que nadie revisa
En el centro de la operación se encuentra Discover-Tech, una empresa de Tel Aviv que proporciona lo que parece un servicio completamente normal: ayudar a los anunciantes a encontrar las audiencias adecuadas y pujar por espacios publicitarios en Google, Microsoft, Yandex y otras plataformas. También ofrecen un servicio llamado Controlium.
Controlium es donde se desmorona la arquitectura. Según el análisis de Citizen Lab, Controlium permitía a las empresas de spyware usar los datos recopilados por Discover-Tech de sus socios publicitarios para seleccionar objetivos. Una vez elegido un objetivo, se inyectaban anuncios maliciosos en los sitios web y aplicaciones que visitaba. El malware se propagaba a través de redes publicitarias legítimas: las mismas que entregan desde avisos de cookies hasta recomendaciones de productos.
Wolfe Kristol, coautor del informe, explicó a Forbes que cualquier persona que navegase por sitios web con anuncios online podría potencialmente convertirse en objetivo. “Es difícil protegerse de los anuncios maliciosos persistentes”, dijo Kristol a Forbes. “Los bloqueadores de anuncios deberían considerarse una medida defensiva estándar en ciberseguridad.”
Quiénes son vigilados
La investigación se centró en Candiru, una empresa israelí de spyware que, según Citizen Lab, explotó el sistema de Discover-Tech. Entre 2024 y 2025, Candiru distribuyó anuncios que contenían malware que atacó hasta 45 computadoras Windows propiedad de empleados de Al Jazeera.
Las capacidades de Candiru son extensas. El malware podía monitorizar mensajes, llamadas telefónicas y datos de ubicación en los dispositivos infectados. Cuando Forbes se acercó a Candiru, la empresa afirmó que los clientes no sabían cómo se usaba realmente su spyware.
Esta no es la primera vez que Candiru atrae escrutinio. En 2021, la compañía fue vinculada a ataques contra el medio de comunicación Middle East Eye, con sede en Londres. A principios de este año, en enero de 2025, Candiru fue adquirida por Integrity Partners, una pequeña firma estadounidense de capital privado.
Ni Discover-Tech ni Candiru respondieron a las solicitudes de comentarios de Forbes.
La paradoja de la red publicitaria
La arquitectura de la publicidad digital moderna está diseñada para hacer que las campañas sean eficientes al llegar a audiencias objetivo. Esa misma eficiencia es lo que hace posible esta vigilancia.
Cuando un anunciante quiere llegar a periodistas que cubren una región particular, puja por espacios publicitarios en sitios web que esos periodistas visitan. La segmentación es precisa. El alcance es global. La infraestructura es compartida entre todas las plataformas principales: Google, Microsoft, Yandex.
Controlium esencialmente permitía a los operadores de spyware secuestrar este sistema de segmentación. En lugar de vender productos, vendían acceso a la vigilancia. Los anuncios eran indistinguibles de los legítimos. Los canales de distribución eran los mismos. La única diferencia era la carga útil oculta en su interior.
Por qué esto viaja
Los ataques sin clic entregados a través de redes publicitarias no son teóricos. Están ocurriendo ahora mismo, en este instante, en Asia y más allá. Las implicaciones van mucho más allá de cualquier empresa o país.
Para los periodistas, el cálculo ha cambiado. Ya no basta con evitar hacer clic en enlaces sospechosos. No puedes bloquear remitentes específicos. La superficie de ataque es todo Internet: cada sitio web, cada aplicación, cada anuncio que ves.
Los proveedores de seguridad digital necesitan reconsiderar su enfoque. Las defensas tradicionales se centran en amenazas conocidas, dominios sospechosos y descargas maliciosas. Ninguno de estos aborda el problema fundamental: infraestructura legítima siendo usada para propósitos ilegítimos.
La economía de la privacidad
El análisis de Citizen Lab revela algo cada vez más incómodo sobre la economía digital. Los datos recopilados por las empresas publicitarias de sus socios pueden usarse para seleccionar objetivos. Una vez elegido un objetivo, el contenido malicioso fluye a través de los mismos canales que todo lo demás.
La arquitectura de la vigilancia moderna no requiere hacking sofisticado. Requiere acceso a los mismos sistemas que usa todos. Las redes publicitarias, los sistemas de distribución de contenido, las APIs de las plataformas: estas son las tuberías por las que fluyen tanto la información como el malware.
La recomendación de Wolfe Kristol es tajante: usa bloqueadores de anuncios. Trátalos como una medida defensiva estándar en ciberseguridad. Es una sugerencia pequeña con enormes implicaciones. Si protegerte requiere modificar constantemente cómo interactúas con Internet, algo se ha roto.
Quiénes ganan y quiénes pierden
Los ganadores en esta arquitectura son empresas como Candiru y Discover-Tech, que monetizan la vigilancia a través de tecnología aparentemente legítima. Integrity Partners, la firma estadounidense de capital privado que adquirió Candiru, ve retornos en una inversión en infraestructura que cruza los límites legales y éticos.
Los perdedores son los periodistas, activistas y ciudadanos comunes cuyas comunicaciones son monitoreadas sin su conocimiento. Son blanco no por lo que hacen, sino por dónde van en línea.
Los verdaderos perdedores pueden ser el interés público. Cuando los periodistas de investigación no pueden confiar en que sus comunicaciones son privadas, la información que mantiene el poder bajo rendición de cuentas se vuelve más difícil de producir.
Qué sigue
Esta historia no terminará con un solo informe. La arquitectura que lo permite está construida en el tejido de Internet. Cada plataforma que sirve anuncios enfrenta la misma pregunta: ¿cómo distingues entre segmentación legítima y vigilancia depredadora?
Los reguladores necesitarán examinar los flujos de datos dentro de los ecosistemas publicitarios. Los investigadores de seguridad necesitarán desarrollar métodos de detección para ataques que se esconden a plena vista. Los periodistas y salas de redacción necesitarán reconsiderar su higiene digital: no como mejores prácticas opcionales, sino como protecciones esenciales.
La investigación de Citizen Lab es un canario en el banner de cookies. La tecnología existe. La cadena de suministro está operativa. La pregunta es si alguien está haciendo algo al respecto.
Los anuncios son el arma. La infraestructura es el arma. Y la única defensa es reconocer que el sistema mismo ha sido comprometido.