Investigadores de Citizen Lab, de la Universidad de Toronto, en colaboración con la firma de ciberseguridad Confiant, publicaron la primera confirmación técnica pública de un ataque de spyware mercenario de "clic cero" distribuido mediante anuncios dirigidos. El informe revela cómo una empresa israelí de publicidad digital, Discover-Tech, operó durante meses como facilitadora de múltiples proveedores de spyware mercenario, permitiéndoles identificar, rastrear e infectar dispositivos de forma automática.
Ron Deibert, director de Citizen Lab, describió los hallazgos como un "escenario de pesadilla", señalando que la confluencia de "dos industrias mal reguladas y altamente abusadas" —la publicidad dirigida y el spyware mercenario— constituye "una receta para el desastre".
El mecanismo del ataque: "AdFection"
El equipo de investigación denominó a esta técnica "AdFection". El ataque funciona así: Discover-Tech opera una plataforma llamada Controlium que permite a sus socios de spyware "desanonimizar, crear huellas digitales e infectar automáticamente dispositivos". Cuando el aviso aparece en la pantalla de un dispositivo el código incrustado en el anuncio envía silenciosamente el identificador de publicidad del usuario y su dirección IP a un servidor de Discover-Tech. Ese servidor determina si el dispositivo pertenece a un objetivo. Si es así, devuelve código de ataque para que el navegador o la aplicación lo ejecute; si no, no envía nada. Debido a que el anuncio en sí no contiene código malicioso, las redes publicitarias que lo entregan no tienen nada que detectar. La novedad acá es que el usuario no necesita hacer clic en el anuncio, con que solo aparezca en su pantalla, ya está infectado.
Bill Marczak, investigador sénior de Citizen Lab, explicó: "AdFection permite a los operadores hackear automáticamente a individuos específicos con spyware mercenario mientras usan aplicaciones o navegan por internet". El investigador principal Ron Deibert añadió que una vez implantado el spyware, el operador puede "encender la cámara, activar el micrófono y rastrear la geolocalización de alguien, así que es algo así como capacidades divinas".
Las víctimas confirmadas: Al Jazeera
Citizen Lab confirmó que al menos 45 dispositivos de Al Jazeera fueron infectados con spyware vinculado a Candiru a través de los anuncios de Discover-Tech entre 2024 y 2025. Los investigadores vincularon los ataques "con alta confianza" a Candiru, una empresa israelí que, según el informe, se ha rebautizado como Integrity Labs. En 2021, el Departamento de Comercio de Estados Unidos sancionó a Candiru "basándose en evidencia de que desarrolló y suministró spyware a gobiernos extranjeros que utilizaron estas herramientas para atacar maliciosamente a funcionarios gubernamentales, periodistas, empresarios, activistas, académicos y trabajadores de embajadas".
Los registros de tráfico de Al Jazeera mostraron el mismo patrón en cada infección: primero el contacto con un servidor de anuncios de Discover-Tech, luego un servidor de Candiru que examina el dispositivo, y finalmente un servidor de comando y control que ejecuta el spyware.
El alcance de la operación de Discover-Tech es asombroso. El análisis de aproximadamente 4 mil millones de registros de la compañía mostró que, durante un período de cuatro meses, sus anuncios aparecieron en casi 200,000 sitios web y aplicaciones de Android e iOS en docenas de países. Los anuncios aparecieron en redes de gobiernos e instituciones importantes, incluidos la OTAN, las Naciones Unidas, organismos de la Unión Europea, oficinas gubernamentales de aproximadamente dos docenas de países, fabricantes de chips y organizaciones de noticias.
Según el informe, los anuncios de Discover-Tech también aparecieron en los sitios web de medios de comunicación como CBC, BBC y The New York Times. Como nota de descargo vale decir que esas organizaciones no podían haber hecho mucho para prevenirlo porque los avisos son troyanos demasiado evolucionados que no contienen rastros de código malicioso.
Este caso plantea preguntas francamente inquietantes sobre la privacidad y la seguridad de nuestros datos. La mayoría de las personas no se da cuenta de que está a tiro de piedra de estas prácticas.
Habitualmente, nuestros datos se venden anonimizados a las empresas. Esto significa que quienes compras esas bases de datos pueden estudiar comportamientos, consumos, tendencias, preferencias y mucho más, pero sin saber quién es quién.
Este informe revela que ya es posible acceder a la información personal y geoespacial de un modo técnicamente indetectable.
Es probable que pensés que no es preocupante porque “no tengo nada que ocultar” pero el asunto es más profundo. Si controlan tu dispositivo pueden vaciar tus cuentas, chantajearte, espiarte a voluntad y algo mucho más sutil pero preocupante, manipularte con contenido dirigido.
Por el momento no hay mucho que puedas hacer para protegerte porque, si estás visitando un sitio o usando una aplicación y aparece un aviso, tu dispositivo ya está en la lista de blancos posibles. Convengamos que la solución real es dejar de usar Internet, una medicina demasiado amarga como para que alguien la tome voluntariamente.
Wolfie Christl, investigador sénior de Citizen Lab, resumió la gravedad del hallazgo: "El riesgo de que tu dispositivo se infecte con spyware simplemente por usar un sitio web o una aplicación que muestra anuncios es un escenario de pesadilla".
El caso AdFection ilustra una vulnerabilidad estructural en el ecosistema publicitario global: un sistema diseñado para segmentar audiencias y entregar mensajes personalizados puede ser reutilizado, con fines de vigilancia y espionaje, para identificar y hackear a individuos específicos sin que estos tengan siquiera conciencia de que eso puede pasar. La pregunta que queda por responder es si las autoridades regulatorias y la industria publicitaria podrán cerrar esta brecha antes de que se convierta en un método estándar de espionaje global.
Corolario: del spyware publicitario al capitalismo de vigilancia corporativa
El caso de AdFection y el spyware de clic cero distribuido vía anuncios dirigidos no es un incidente aislado. Forma parte de un ecosistema más amplio en el que empresas privadas con capacidad de vigilancia masiva operan para gobiernos, organizaciones o de forma autónoma, y cuya influencia se extiende globalmente. El caso de Palantir Technologies en Argentina ilustra cómo esta dinámica se materializa en el plano político y territorial.
Peter Thiel, cofundador de Palantir y figura central del poder tecnológico en Silicon Valley, se mudó a Buenos Aires este año, adquiriendo una coqueta propiedad en el exclusivo Barrio Parque.
Su llegada coincidió con una serie de reformas impulsadas por el presidente Javier Milei para atraer inversiones tecnológicas, incluido el Régimen de Incentivo para Grandes Inversiones en Nuevas Industrias (Súper RIGI), que otorga beneficios fiscales y cambiarios por 30 años a industrias como la IA y los centros de datos.
La reacción social no se hizo esperar. En agosto de 2026, cientos de personas marcharon hacia la residencia de Thiel bajo consignas como "Desalojo express a Peter Thiel" y "No al Súper RIGI". Un grupo autodenominado "Los Gandalfs del Sur", disfrazados del mago de El Señor de los Anillos, desplegó una bandera que decía "You shall not pass, la concha de tu madre" frente a su casa, en un rechazo directo a lo que consideran una agenda de vigilancia y control social. La elección de Gandalf no fue azarosa: "Palantir" es el nombre de las piedras videntes de Tolkien que "ven a lo lejos", una metáfora de la tecnología de vigilancia masiva que la empresa desarrolla.
Las preocupaciones no son infundadas. La Asociación Gremial de Computación (AGC) de Argentina advirtió que el que reforma la Ley de Inteligencia Nacional, "sienta las bases para que Palantir acceda a datos sensibles y sistemas de inteligencia".
El rechazo a Palantir no es exclusivo de Argentina. Alemania, Dinamarca, Francia y Suiza han prohibido o roto contratos con la empresa. España vetó a Palantir en nuevas contrataciones públicas en julio de 2026. Una coalición de sindicatos y organizaciones civiles europeas ha exigido a la Comisión Europea rescindir todos los contratos con Palantir y vetarla de futuros acuerdos, argumentando que su operación "no tiene cabida en entornos democráticos".
El paralelo con AdFection es direc así como Discover-Tech convirtió el ecosistema publicitario en un pipeline para el spyware mercenario, Palantir convierte la infraestructura estatal de datos en un sistema de vigilancia y control social al servicio de intereses corporativos y geopolíticos. En ambos casos, la lógica es la misma: infraestructura privada, fines opacos, y consecuencias que recaen sobre poblaciones enteras sin su conocimiento ni consentimiento.
Marcelo Bettini
Diplomado en IA. Programador. Profesor de tecnología. Periodista
