Citizen Lab documentó cómo Candiru usó infraestructura publicitaria para distribuir exploits zero-click contra Al Jazeera y perfilar dispositivos en organizaciones sensibles durante 2024-2026.
Citizen Lab expuso una operación de vigilancia que convirtió la infraestructura publicitaria online en vector de distribución de spyware. La investigación vincula a Discover-Tech — una plataforma de publicidad programática — con Candiru, proveedor israelí de spyware que el gobierno estadounidense incluyó en su Entity List en 2021 por venta de herramientas de vigilancia a regímenes represivos. Desde entonces, Candiru opera bajo el nombre Integrity Labs. El hallazgo revela cómo un sistema diseñado para mostrar anuncios de auriculares o teléfonos puede servir simultáneamente para rastrear objetivos de inteligencia y entregar código malicioso sin que la víctima haga clic en nada.
Cómo funciona la distribución de spyware a través de anuncios programáticos
La plataforma MyDSP de Discover-Tech realizó pujas sobre 3.770.286.576 impresiones publicitarias entre marzo y junio de 2026, ganando aproximadamente 441.954.291 impresiones — un 11,7% del total. Los anuncios aparecieron en más de 120.000 sitios web y 70.000 aplicaciones móviles. El 76,7% de las pujas fueron para impresiones en aplicaciones móviles y 23,3% para navegadores web. Esta escala permitió a Discover-Tech perfilar usuarios masivamente: cada puja publicitaria transmite identificadores de dispositivo, dirección IP, características del navegador y otros datos técnicos que permiten distinguir un dispositivo de otro. Cuando se combina con reglas de segmentación publicitaria, el sistema puede entregar código diferente a usuarios específicos mientras muestra anuncios ordinarios al resto. El proceso no requiere que el usuario interactúe con el anuncio — el código se ejecuta cuando la impresión se carga.
Al Jazeera: de la puja publicitaria al compromiso zero-click
En 2024 y 2025, la red internacional Al Jazeera fue objetivo de una serie de ataques zero-click que Citizen Lab vincula con alta confianza a spyware de Candiru distribuido a través de anuncios de Discover-Tech. Al menos 45 dispositivos dentro de Al Jazeera fueron objetivo de estos ataques. Los investigadores llegaron a esta conclusión examinando registros de red suministrados por la cadena. La evidencia técnica muestra actividad consistente con la entrega de exploits a través de impresiones publicitarias ganadas por MyDSP, no un escenario teórico de ataque. La distinción importa: la mayoría de los anuncios de Discover-Tech no necesariamente entregaron spyware, y ver uno no prueba que un dispositivo haya sido comprometido. Pero el sistema dio a Discover-Tech capacidad para seleccionar dispositivos particulares para operaciones más intrusivas después de perfilarlos a escala.
Exposición en redes del Pentágono, OTAN y organismos internacionales
Los registros publicitarios también mostraron impresiones en redes asociadas al Pentágono, OTAN, Naciones Unidas, Comisión Europea y Corte Penal Internacional. Esto no significa que cada organización cuya red mostró un anuncio de Discover-Tech sufrió una infección de spyware. Sí demuestra que la infraestructura publicitaria puede alcanzar personas que trabajan en entornos donde sus identidades, comunicaciones y actividad de dispositivo tienen valor de inteligencia. El problema para los equipos de seguridad es que las defensas tradicionales se enfocan en adjuntos maliciosos, enlaces sospechosos, software vulnerable y conexiones de red no autorizadas. La distribución de spyware a través de publicidad agrega otra ruta: código entregado a través de un servicio que usuarios y organizaciones permiten rutinariamente porque soporta navegación web ordinaria.
Por qué Discover-Tech operó sin detección durante años en plataformas aprobadas
Discover-Tech apareció listada como proveedor aprobado por Google e IAB Europe — la asociación de la industria publicitaria europea — durante años, a pesar de vínculos con personas y empresas asociadas a la industria de vigilancia. Tras la investigación de Citizen Lab, Google terminó el acceso de Discover-Tech a sus intercambios publicitarios, mientras IAB Europe suspendió su estatus de proveedor. Beeswax removió a la compañía de su plataforma, y Vungle — operada por Liftoff — pausó su acceso mientras revisa los hallazgos. Eskimi también bloqueó sus cuentas y dominios. Estas acciones importan, pero no resuelven el problema subyacente. La industria publicitaria depende de cadenas complejas de compradores, intercambios, editores y scripts de terceros, frecuentemente con visibilidad limitada sobre qué hace cada componente cuando un anuncio se carga. Una compañía puede pasar verificaciones rutinarias mientras usa reglas de segmentación para entregar código diferente a usuarios distintos, haciendo el comportamiento malicioso más difícil de detectar mediante escaneo automatizado solo.
Impacto en América Latina: dependencia de la misma infraestructura publicitaria sin capacidad de auditoría
Aunque Citizen Lab no reportó víctimas específicas en América Latina, la región enfrenta exposición estructural al mismo problema. Los medios, gobiernos y organizaciones de la sociedad civil en México, Brasil, Argentina, Colombia y Chile dependen de las mismas plataformas publicitarias globales — Google Ad Manager, intercambios programáticos, redes móviles — que permitieron a Discover-Tech operar sin detección durante años. La diferencia crítica es que la mayoría de las organizaciones latinoamericanas carecen de capacidad técnica para auditar el tráfico publicitario a nivel de red o revisar qué scripts se ejecutan cuando un anuncio se carga. Periodistas de investigación en la región — particularmente aquellos que cubren corrupción, crimen organizado o abusos de derechos humanos — representan objetivos de alto valor para spyware comercial, pero rara vez cuentan con equipos de seguridad capaces de implementar controles de gateway o análisis de tráfico generado por publicidad. El caso de Al Jazeera demuestra que una organización puede ser objetivo de ataques zero-click a través de publicidad sin siquiera saber que está bajo vigilancia hasta que un laboratorio externo revisa sus registros de red.
Nuestro análisis
Este caso revela un patrón que ya vimos en operaciones previas de spyware comercial: la explotación de infraestructura legítima para ocultar actividad maliciosa. Pegasus de NSO Group usó servidores de Amazon Web Services y dominios que imitaban servicios conocidos. Predator de Cytrox se distribuyó a través de sitios web comprometidos que parecían noticias ordinarias. Candiru ahora usa publicidad programática — un sistema que organizaciones permiten por defecto porque soporta el modelo de negocio de internet. La diferencia con ataques anteriores es la escala: casi 4.000 millones de pujas en cuatro meses dan capacidad de perfilado masivo antes de seleccionar objetivos para explotación. Lo que todavía no sabemos es cuántos otros proveedores de spyware están usando la misma técnica. Citizen Lab identificó vínculos con Bindecy e Intelos — otras empresas de vigilancia — sugiriendo que Discover-Tech sirvió a más de un cliente. La suspensión de Discover-Tech por parte de Google e IAB Europe no cambia el hecho de que la industria publicitaria carece de mecanismos para detectar cuándo un proveedor aprobado usa reglas de segmentación para entregar código diferente a usuarios específicos.
¿Cuántas otras plataformas publicitarias están operando ahora mismo con acceso aprobado a intercambios globales mientras entregan spyware a objetivos seleccionados que nunca sabrán que fueron perfilados?