Discover-Tech, el ad-tech que sirvió spyware en anuncios

Citizen Lab documentó spyware entregado por anuncios, sin un solo clic

Al menos 45 dispositivos de Al Jazeera fueron comprometidos con spyware entre 2024 y 2025 sin que sus usuarios tocaran nada. El vector no fue un correo de phishing ni un mensaje: fue un anuncio programático servido por la misma infraestructura publicitaria que usan Google, Facebook y buena parte del ecosistema digital.

La evidencia está en "Exposing AdFection", la investigación que Citizen Lab, el laboratorio de la Universidad de Toronto, publicó el 15 de octubre, y que según WIRED es la primera prueba técnica pública de spyware comercial distribuido a través de publicidad digital. Para cualquier startup que monetice con anuncios o que integre SDKs publicitarios en su producto, el reporte redefine qué cuenta como superficie de ataque.

¿Cómo funciona el ataque AdFection?

Cuando una app o una web muestra un anuncio, ese espacio se subasta en milisegundos mediante real-time bidding. En cada puja, las empresas participantes reciben datos del dispositivo: dirección IP, identificador publicitario, contexto de navegación. Esos identificadores permiten reconstruir quién es quién entre miles de millones de usuarios.

Discover-Tech, una empresa israelí que se presentaba como ad-tech legítima, operaba una plataforma llamada Controlium que, según Citizen Lab, permitía "desanonimizar, hacer fingerprinting e infectar automáticamente dispositivos". El mecanismo era engañosamente simple: sus anuncios incluían un script que contactaba su servidor NOAS al renderizarse. Para la mayoría de dispositivos no ocurría nada. Para los objetivos seleccionados, el servidor devolvía código que desembocaba en una infección zero-click, sin ninguna interacción del usuario.

Los registros de red que Al Jazeera compartió con los investigadores mostraron la secuencia completa: infraestructura de Discover-Tech, luego servidores de validación de Candiru y finalmente servidores de mando y control del spyware.

¿Quién es Discover-Tech y por qué estaba certificado por todos?

Discover-Tech no era un actor clandestino operando en los márgenes. Estaba certificado como proveedor seguro por Google, Yandex, Microsoft, Beeswax (división de Comcast) e IAB, la principal asociación de la industria publicitaria. Esa acreditación le dio acceso a más de 4.000 millones de subastas de anuncios.

El reporte también señala vínculos con el ecosistema israelí de ciberespionaje, incluido NSO Group, y menciona que su consejo incluyó a Eric Banoun, descrito por Haaretz como "uno de los pioneros del ciber ofensivo en Israel". Candiru, el proveedor cuyo spyware llegó a los dispositivos de Al Jazeera, fue incluido en la lista negra del gobierno de Estados Unidos en 2021 y hoy opera bajo el nombre Integrity Labs.

La pregunta incómoda no es cómo una empresa así pasó desapercibida, sino cómo atravesó todos los filtros de las plataformas más grandes del mundo durante años.

Los números: una operación de escala industrial

• Entre marzo y junio de 2026, Discover-Tech pujó 3.770 millones de veces y ganó unos 442 millones de subastas, según Citizen Lab (iTnews).
• Sus anuncios con scripts de ataque aparecieron en 75.373 apps móviles y 120.768 sitios web (iTnews, BleepingComputer).
• La firma de seguridad publicitaria Confiant, que publicó un informe en paralelo, estimó que Discover-Tech servía al menos 10 millones de anuncios por día en todo el mundo (iTnews).
• El 76,7% de sus pujas eran para anuncios dentro de apps móviles, donde un bloqueador de navegador no ofrece ninguna protección.
• Los anuncios alcanzaron redes de NATO, la ONU, la Comisión Europea, agencias de gobierno e infraestructura crítica en Australia. El CPJ reportó que también llegaron a redes de medios en Austria, Dinamarca, Francia, México, Israel, Italia, Noruega y Suecia.

Un servidor de Discover-Tech expuso 4.000 millones de registros de pujas, la base que permitió a Citizen Lab mapear el alcance. Un matiz importante: que un anuncio aparezca en una red no prueba que alguien allí fuera infectado. Lo que sí prueba, según los investigadores, es que esos dispositivos fueron perfilados.

La reacción de la industria (y lo que dice de sus controles)

Tras la investigación conjunta de Citizen Lab y Confiant, Google bloqueó a Discover-Tech de sus plataformas publicitarias y activó advertencias de Safe Browsing en los dominios vinculados. IAB Europe lo suspendió de su lista global de proveedores el 8 de octubre, después de una auditoría. Beeswax, Eskimi y Vungle tomaron medidas similares, según iTnews y WIRED.

El detalle que debería preocupar a cualquier founder: Google e IAB Europe tenían a Discover-Tech en sus listas de proveedores certificados desde 2020. La certificación no detectó nada durante años. El propio Google afirmó a WIRED que lo bloqueó por "violar sistemáticamente nuestras políticas", y el CPJ pidió a las autoridades israelíes investigar y exigir responsabilidades.

¿Qué significa esto para tu startup?

Si tu producto muestra anuncios, si tu app integra SDKs de terceros o si tu equipo trabaja en dispositivos que navegan la web abierta, este caso te toca directamente. Cuatro movimientos concretos:

• Trata cada SDK publicitario como una dependencia de riesgo. Inventaría los SDKs de tu app, revisa quién es el dueño real de cada uno y qué permisos y dominios contacta. La mayoría de los equipos no sabe cuántos proveedores publicitarios hay dentro de su propio binario.
• Bloquea anuncios en dispositivos y redes corporativas. Citizen Lab recomienda el bloqueo como práctica de ciberseguridad y advierte que hoy "no existe una forma consistentemente segura" de exponerse a anuncios segmentados. El Australian Signals Directorate ya lo exige en su marco Essential Eight: los navegadores no deben mostrar anuncios de internet.
• No confundas certificación con seguridad. Que un proveedor esté aprobado por una lista de la industria no reemplaza tu propia verificación. Si contratas ad-tech, pide auditorías propias y cláusulas de responsabilidad, no solo el sello del vendor registry.
• Si eres publisher, reconsidera la publicidad contextual. Un anuncio alineado al contenido de tu página no necesita identificar al usuario, y por lo tanto no puede ser usado para seleccionar a una persona concreta. Es la única arquitectura que hoy no hereda este riesgo.

¿Vale la pena la publicidad segmentada?

El análisis publicado por Pluralistic va más allá del incidente y cuestiona la premisa comercial del sector: la evidencia de que segmentar por usuario mejora el rendimiento es débil, con mejoras de clickthrough de menos del 5% frente a anuncios contextuales relacionados con el contenido de la página. A cambio, se asume un costo enorme en infraestructura, vigilancia y riesgo de seguridad.

Ese mismo análisis señala que los esquemas "paga o acepta" —donde el sitio exige desactivar el bloqueador o pagar suscripción— son ilegales en Europa, California y otras jurisdicciones con leyes de privacidad fuertes, y desmonta la propuesta recurrente de asignar a cada usuario un identificador publicitario de emisión estatal para "democratizar" el targeting. Facilitar la vigilancia no es lo mismo que aumentar la competencia.

Un antecedente relevante: BleepingComputer recuerda que en 2025 Amnesty International ya había documentado un mecanismo similar llamado Aladdin, usado para infectar objetivos con el spyware Predator sin clics. La diferencia es que AdFection fue capturado en ataques reales, con evidencia forense de dispositivos comprometidos.

Conclusión

El caso Discover-Tech no es una historia sobre anuncios: es una historia sobre infraestructura confiable usada como arma. El sistema de subastas publicitarias fue diseñado para entregar código arbitrario a usuarios identificados de forma única, y esa capacidad es exactamente lo que necesita la industria del spyware mercenario.

Para un founder, la lección operativa es incómoda pero clara: cada integración de terceros en tu producto es una decisión de seguridad, no solo de monetización. Y para quien monetiza con publicidad, la alternativa contextual no es un retroceso técnico, es una reducción real de superficie de ataque. Mientras la industria no demuestre que puede bloquear vectores tipo AdFection de forma confiable, la recomendación de Citizen Lab sigue vigente: bloquear en la puerta de entrada.

Fuentes

• Pluralistic — Israeli ad-tech company was a delivery system for "mercenary spyware" (fuente original)
• WIRED — 'Nightmare Scenario': Zero-Click Spyware Is Infecting Phones via Targeted Ads
• Committee to Protect Journalists — Report: Israeli ad-tech firm enables spyware targeting of at least 45 Al Jazeera devices
• iTnews — Australian gov, media networks reached by Israeli firm's spy ads
• BleepingComputer — Targeted ads installed Candiru spyware in zero-click attacks
• SecurityWeek — Israeli Ad Firm Doubled as Candiru's Zero-Click Spyware Delivery Channel