Los investigadores han documentado un caso de spyware publicitario de cero clics con el que se encontraron periodistas en 2024, y cambia nuestra forma de pensar sobre los riesgos de la navegación cotidiana. Al Jazeera y Citizen Lab han publicado ambos hallazgos sobre una campaña que denominan "AdFection", en la que se entregó spyware mercenario a través de publicidad en línea. No se necesitó ningún toque, ninguna descarga ni ningún enlace sospechoso.

La pregunta de quién fue en última instancia el que dirigió los ataques contra los periodistas sigue sin respuesta. Lo que los investigadores dicen saber es quién facilitó los ataques: dos empresas israelíes, una de las cuales lleva alrededor de cinco años en la lista negra de EE. UU.

Cómo AdFection entregó spyware publicitario de cero clics a periodistas

Un ataque de cero clics es aquel que no requiere ninguna acción por parte de la víctima. El phishing tradicional depende de que usted abra un archivo adjunto o toque un enlace. Aquí, el canal de entrega fue el propio ecosistema publicitario. Los anuncios se cargan automáticamente cada vez que se carga una página, por lo que un anuncio malicioso puede llegar a un dispositivo simplemente porque alguien visitó un sitio web.

Eso es lo que hace inquietante la técnica. La red publicitaria, en la que la mayoría de los lectores nunca piensa, se convierte en el camino por el que viaja el spyware. La publicidad dirigida está diseñada para seleccionar audiencias específicas, y la misma precisión que permite a una marca llegar a un grupo demográfico concreto puede, en teoría, permitir a un atacante llegar a una persona concreta.

Los reportes públicos sobre la investigación nombran a una empresa publicitaria llamada Discover-Tech y describen a los creadores de spyware usándola para llegar a los dispositivos. Esos detalles provienen de la cobertura secundaria del informe de Citizen Lab, así que consulte los hallazgos primarios para la descripción técnica exacta antes de confiar en ellos.

Qué encontraron Citizen Lab y Al Jazeera

Ambas organizaciones publicaron sus propios hallazgos. Los periodistas de Al Jazeera estuvieron entre los afectados, y Citizen Lab, el grupo de investigación de la Universidad de Toronto conocido por investigar el spyware comercial, analizó la campaña y le dio el nombre de AdFection. Nuestra cobertura anterior del hallazgo de Citizen Lab de que los anuncios de cero clics estaban infectando los dispositivos de periodistas recorre el informe con más detalle.

Dos puntos destacan en los reportes:

  • La atribución es incompleta. Los investigadores identificaron a los facilitadores, pero no al cliente que eligió los objetivos. Eso es típico del mercado del spyware mercenario, donde la empresa que construye las herramientas y la parte que las usa a menudo son diferentes.
  • Estuvo involucrada una empresa en la lista negra. Una de las dos firmas israelíes ha estado en la lista negra de EE. UU. durante aproximadamente medio decenio. Eso plantea preguntas difíciles sobre cómo una empresa así sigue conectada a la infraestructura comercial y a la cadena de suministro publicitaria en general.

La cobertura secundaria también ha descrito el caso como la primera instancia confirmada públicamente de spyware mercenario de cero clics entregado a través de anuncios dirigidos. Trate ese encuadre como la caracterización del trabajo de Citizen Lab según lo reportado por otros, y consulte el informe original para sus afirmaciones precisas.

Por qué los periodistas y activistas son objetivos

El spyware mercenario se vende como una herramienta de vigilancia, y los periodistas son un objetivo recurrente porque poseen lo que otros quieren: fuentes, material no publicado y comunicaciones privadas. Un teléfono comprometido puede exponer contactos, mensajes, ubicación y acceso al micrófono. Para un reportero que trabaja en historias sensibles, una sola infección puede poner en riesgo a las fuentes, no solo al reportero.

El caso AdFection también muestra por qué la amenaza no se limita estrictamente a los periodistas. El método de entrega se basa en infraestructura que todos usan. Incluso si se eligió a una persona específica como objetivo, el mismo sistema publicitario sirve al público general. Es poco probable que la mayoría de los lectores sea un objetivo prioritario para este tipo de herramientas, pero el caso muestra que el mecanismo existe.

Qué significa esto para usted

Para la mayoría de las personas, el riesgo práctico de ser señalado por spyware mercenario es bajo. Aun así, los hallazgos son un recordatorio de que no hacer clic en nada no significa que esté a salvo, y que los anuncios web ordinarios pueden ser una superficie de ataque. Si usted es periodista, activista, abogado o alguien que maneja información sensible, tómese esto más en serio.

También vale la pena ser honesto sobre las VPN. Una VPN cifra su tráfico entre su dispositivo y el servidor VPN y oculta su dirección IP de los sitios que visita. No impide que un anuncio malicioso se cargue en su navegador, y no parchea una vulnerabilidad en su teléfono. Una VPN por sí sola no protege contra este tipo de ataque. Sigue siendo útil para otros objetivos de privacidad, pero no es una defensa aquí.

Qué pueden hacer los lectores

Ningún paso único elimina el riesgo, pero las medidas por capas lo reducen considerablemente:

  • Actualice su sistema operativo y navegador con prontitud. El spyware como este suele depender de fallos de software, y las actualizaciones los cierran.
  • Active el Modo Bloqueo si tiene un riesgo mayor. El Modo Bloqueo de Apple está diseñado para reducir la superficie de ataque de las personas que pueden ser objetivo. Los usuarios de Android pueden buscar configuraciones de protección avanzada comparables.
  • Use un bloqueador de anuncios. Si el canal de entrega es un anuncio, bloquear anuncios a nivel del navegador o DNS elimina gran parte de la exposición.
  • Reinicie su dispositivo con regularidad. Algunas infecciones no sobreviven a un reinicio, lo que puede obligar a los atacantes a empezar de nuevo.
  • Reduzca lo que se ejecuta en el navegador. Menos extensiones y un conjunto mínimo de aplicaciones reducen el número de lugares que un atacante puede explotar.
  • Busque ayuda experta si sospecha una infección. Las organizaciones que apoyan a grupos en riesgo pueden ayudar con verificaciones forenses.

Conclusiones clave

El caso AdFection muestra que el spyware publicitario de cero clics al que se enfrentaron los periodistas en 2024 se entregó a través del mismo sistema publicitario que sirve a todos los demás. El atacante sigue sin identificar, pero dos empresas israelíes han sido vinculadas a facilitarlo. Mantenga sus dispositivos actualizados, considere el Modo Bloqueo si enfrenta un riesgo elevado y bloquee anuncios donde pueda. Para los detalles completos, lea nuestro resumen del informe de Citizen Lab sobre anuncios de cero clics y periodistas, y luego siga los hallazgos primarios de Citizen Lab y Al Jazeera. Y recuerde que una VPN, aunque útil, no es un escudo contra este tipo de ataque.