Durante cuatro meses, millones de dispositivos en distintos países recibieron anuncios digitales que podían infectarlos con spyware sin que sus propietarios pulsaran ningún enlace, sin que vieran nada sospechoso, sin que tuvieran la menor oportunidad de defenderse. La revelación procede de Citizen Lab, el laboratorio de investigación de la Universidad de Toronto especializado en vigilancia digital, y dibuja un escenario que debería inquietar tanto a ciudadanos como a reguladores: la infraestructura publicitaria más ordinaria, la que financia buena parte de la prensa y los servicios gratuitos en internet, puede haberse convertido en un instrumento de espionaje sistemático.
Todo comenzó, según la investigación, con una empresa israelí llamada Discover-Tech. Esta compañía habría aprovechado el ecosistema de la publicidad programática —ese sistema de subastas automatizadas en tiempo real mediante el cual los anunciantes compran espacios publicitarios en webs y aplicaciones— para distribuir de forma encubierta programas espía capaces de comprometer dispositivos seleccionados. La operación no era aleatoria ni masiva en sentido estricto: estaba diseñada para identificar objetivos concretos y actuar sobre ellos con precisión quirúrgica.
El mecanismo era tan sencillo como perturbador. Cuando un anuncio vinculado a Discover-Tech se cargaba en una página web o aplicación, el dispositivo del usuario establecía una conexión con un servidor controlado por la empresa. Ese servidor evaluaba entonces el perfil del dispositivo y decidía qué respuesta enviar. Si el usuario era considerado un objetivo de interés, el servidor podía activar una cadena de ataque que instalaba el spyware sin que mediara ninguna interacción humana: sin clic, sin descarga consciente, sin ninguna señal visible.
Para llevar a cabo esa selección de objetivos, Discover-Tech habría utilizado una plataforma denominada Controlium, capaz de relacionar identificadores publicitarios —esos códigos anónimos que los sistemas de publicidad asignan a cada dispositivo— con personas reales, construyendo perfiles detallados a partir de datos que el mercado publicitario genera y comparte de manera rutinaria. Lo que en teoría sirve para mostrar anuncios de zapatillas deportivas a quien busca zapatillas se habría reconvertido, en este caso, en una herramienta de vigilancia.
La vinculación con Candiru, empresa israelí ampliamente documentada por su desarrollo de programas espía para gobiernos, añade una dimensión política a la operación. Entre los dispositivos presuntamente afectados figuran equipos relacionados con la cadena de televisión Al Jazeera, lo que sugiere que periodistas o empleados del medio catarí pudieron estar entre los objetivos. No es la primera vez que Candiru aparece asociada a campañas de vigilancia contra medios de comunicación y disidentes.
Para calibrar el alcance del problema, Citizen Lab examinó cerca de 4.000 millones de registros publicitarios y detectó anuncios atribuibles a Discover-Tech en casi 200.000 páginas web y aplicaciones durante ese período de cuatro meses. Identificó, además, conexiones de millones de dispositivos con servidores vinculados a Candiru. Los investigadores son cuidadosos al interpretar estas cifras: aparecer en los registros no equivale necesariamente a haber sido infectado, puesto que el ataque dependía de una selección activa por parte del servidor. Pero la escala potencial de la operación de rastreo —aunque no de infección— resulta difícil de minimizar.
Cuando Citizen Lab comunicó sus hallazgos a varias empresas del sector publicitario, la respuesta fue relativamente rápida. Algunas bloquearon a Discover-Tech, otras retiraron sus servicios de determinadas plataformas o suspendieron campañas asociadas. Estas medidas limitaron la actividad de la red, aunque los propios investigadores advierten que no descartan la existencia de técnicas similares operando bajo otros nombres o estructuras.
Lo que este caso expone con mayor claridad es la fragilidad de los consejos de seguridad convencionales. Durante años, la recomendación estándar ha sido no pulsar en enlaces sospechosos, desconfiar de los anuncios llamativos, no descargar archivos de origen desconocido. Frente a una operación como la descrita por Citizen Lab, ese consejo resulta sencillamente insuficiente. El ataque no requería ninguna acción de la víctima. Bastaba con que el dispositivo cargara un anuncio en una web cualquiera para que el servidor decidiera si merecía ser comprometido.
El caso plantea preguntas que van más allá de la ciberseguridad técnica y afectan al diseño mismo del mercado publicitario digital, a la falta de transparencia en las cadenas de intermediación y a la ausencia de controles efectivos sobre qué hacen realmente los anuncios cuando se cargan en un dispositivo. La publicidad programática mueve cientos de miles de millones de euros al año y opera en gran medida como una caja negra. Que esa caja negra pueda albergar operaciones de espionaje no es una hipótesis teórica: según Citizen Lab, ya ha ocurrido.