Citizen Lab describe AdFection, una cadena en la que anuncios dirigidos podían conducir a spyware mercenario sin que la persona hiciera clic. En los ataques contra Al Jazeera de 2024 y 2025, al menos 45 dispositivos fueron objetivo; la investigación informa por separado de infecciones en la organización. Citizen Lab atribuye con alta confianza los ataques a spyware de Candiru y presenta el caso como la primera confirmación técnica pública de esta vía de distribución mediante publicidad. El informe técnico de Citizen Lab detalla cómo funcionaba la selección.
Cómo funcionaba la cadena
Cuando se mostraba un anuncio, este podía solicitar JavaScript —código que se ejecuta en el navegador o la aplicación— a la infraestructura de Discover-Tech. Un servidor comprobaba si el dispositivo cumplía los criterios de selección. Para ello, Controlium podía utilizar identificadores publicitarios del móvil, identificadores de cookies de MyDSP o Beeswax y direcciones IP.
La mayoría de las personas no era seleccionada y no recibía JavaScript. Aun así, el anuncio renderizado podía recopilar datos del navegador, cookies y la dirección IPv6 pública del dispositivo. Para un objetivo seleccionado, la ruta podía continuar desde la infraestructura de Discover-Tech hasta un servidor validador de Candiru, seguido de más perfilado y la infección.
Qué implica ver uno de esos anuncios
La visualización de un anuncio y la selección de un objetivo eran etapas distintas. Citizen Lab informó de infecciones en dispositivos de Al Jazeera y contó al menos 45 dispositivos objetivo entre 2024 y 2025; esa cifra se refiere a los dispositivos seleccionados, no a un recuento de infecciones confirmadas. La investigación vincula la cadena con Candiru, posteriormente rebautizada como Integrity Labs.
La escala de la actividad publicitaria
Entre marzo y junio de 2026, Citizen Lab analizó casi 4.000 millones de registros de pujas expuestos. MyDSP pujó por 3.770.286.576 impresiones y ganó 441.954.291, el 11,7 % de sus pujas. Durante ese periodo, los anuncios de Discover-Tech aparecieron en más de 70.000 aplicaciones móviles y 120.000 sitios web.
Al menos 718.748.885 pujas —alrededor del 19 %— incluían anuncios con una etiqueta de script que apuntaba a un servidor NOAS. Esos anuncios aparecieron en 161 países. Las cifras describen actividad y alcance publicitarios; no cuantifican infecciones.
Qué hicieron las plataformas publicitarias
A comienzos de octubre de 2026, Google e IAB Europe retiraron a Discover-Tech de sus registros de proveedores. Google también puso fin a su acceso a la plataforma de intercambio publicitario; la inclusión de Discover-Tech en el registro de IAB Europe terminó el 8 de octubre de 2026.
Las otras medidas fueron distintas: Beeswax retiró a Discover-Tech de Buyer Cloud; Vungle (Liftoff) pausó su acceso mientras lo revisaba, y Eskimi bloqueó sus cuentas, usuarios y dominios después de detectar etiquetas evasivas.
Medidas para reducir el riesgo
Citizen Lab recomienda usar una extensión de bloqueo de anuncios de confianza y aplicar el bloqueo también a nivel de red, mantener los dispositivos y programas actualizados, restablecer los identificadores publicitarios móviles y desactivar el seguimiento publicitario. En una organización, el bloqueo de anuncios en la red puede complementar las medidas de cada dispositivo.
