Citizen Lab, la unidad de investigación sobre derechos digitales de la Universidad de Toronto, afirma haber encontrado evidencia de que docenas de dispositivos en la organización de medios Al Jazeera fueron hackeados tras mostrarles anuncios maliciosos en línea. El hallazgo, reportado por TechCrunch el 15 de octubre de 2026, apunta a un desarrollo preocupante: el spyware de cero clics y los anuncios maliciosos ahora pueden servir como una vía de entrega al teléfono o computadora de un objetivo, sin que la persona tenga que tocar nada.
El resumen público es breve, así que esta publicación se limita a lo que se ha reportado y explica la mecánica general y las defensas que los investigadores de seguridad describen habitualmente.
Qué encontró Citizen Lab en Al Jazeera
Según el informe, Citizen Lab encontró evidencia de que docenas de dispositivos en Al Jazeera fueron comprometidos después de que las personas que los usaban fueran expuestas a anuncios maliciosos en línea. La afirmación principal es que los gobiernos están abusando de la publicidad en línea para distribuir spyware de cero clics, es decir, spyware que infecta un dispositivo sin que la víctima abra un archivo o haga clic en un enlace.
El resumen de la fuente no nombra al proveedor de spyware, las redes publicitarias específicas involucradas ni las vulnerabilidades exactas utilizadas, y no vamos a adivinarlas. Lo que sí establece es el objetivo: una importante organización de medios, donde el personal maneja rutinariamente fuentes e información sensibles. La palabra "presuntamente" también importa aquí. Estos son hallazgos de un grupo de investigación, y pueden surgir más detalles a medida que se publique más información.
Cómo un anuncio malicioso puede hackear un teléfono sin un clic
Un ataque tradicional requiere que hagas algo: abrir un archivo adjunto, tocar un enlace, instalar una aplicación. Un ataque de cero clics elimina ese paso. Se basa en una falla en el software que procesa contenido automáticamente, como un navegador o una aplicación que renderiza una imagen, un video o una página web. Si el contenido está diseñado para explotar esa falla, el código malicioso puede ejecutarse durante el funcionamiento normal.
Los anuncios en línea encajan incómodamente bien en este modelo. Los anuncios se cargan automáticamente cuando se abre una página o una aplicación, a menudo desde servidores de terceros que el editor no controla directamente. Un atacante capaz de colocar un anuncio malicioso frente a una persona elegida podría, en principio, desencadenar una vulnerabilidad en el software que lo muestra. Las herramientas de segmentación de anuncios, que existen para seleccionar audiencias específicas, podrían ayudar a reducir la entrega a la víctima prevista.
El punto clave es que la persona no hizo nada malo. Haber visto el anuncio fue suficiente, según los hallazgos reportados por Citizen Lab.
Por qué los periodistas y los usuarios comunes están expuestos por igual
Los periodistas son un objetivo obvio. Las salas de redacción guardan contactos confidenciales, material no publicado y datos de ubicación que los gobiernos pueden querer. Un ataque que funciona a través de anuncios elimina la necesidad de un mensaje de phishing convincente, que el personal suele estar capacitado para detectar.
Pero el canal de entrega no se limita a las salas de redacción. Los anuncios llegan a casi todos los que navegan por la web o usan aplicaciones gratuitas. El spyware altamente dirigido suele ser costoso y está orientado a individuos específicos, por lo que es poco probable que la mayoría de las personas sea la víctima prevista. Aun así, la misma infraestructura publicitaria sirve a todos, y las debilidades en cómo los dispositivos manejan el contenido web afectan a todos los usuarios hasta que se corrigen. Activistas, abogados, investigadores y otras personas que podrían atraer el interés gubernamental deberían considerarse parte del grupo en riesgo, no solo los reporteros.
Qué reduce realmente el riesgo (y qué no puede hacer una VPN)
Vale la pena ser directo: una VPN por sí sola no protege contra este tipo de ataque. Una VPN cifra tu tráfico entre tu dispositivo y el servidor VPN y oculta tu dirección IP de los sitios que visitas. No impide que un dispositivo renderice un anuncio malicioso, y no corrige una vulnerabilidad de software. Si un exploit se entrega dentro del contenido que tu dispositivo carga, el túnel simplemente lo transporta.
Las medidas que abordan la ruta real del ataque incluyen:
- Actualiza tu sistema operativo y navegador con prontitud. Los ataques de cero clics dependen de fallas no parcheadas o desconocidas. Instalar actualizaciones de seguridad rápidamente cierra agujeros conocidos.
- Usa bloqueo de contenido o de anuncios. Si el anuncio nunca se carga, no puede entregar el exploit. Los bloqueadores a nivel del navegador o de la red reducen la exposición a servidores de anuncios de terceros.
- Activa el Modo de bloqueo donde esté disponible. El Modo de bloqueo de Apple está diseñado para personas con riesgo elevado y reduce la superficie de ataque al limitar ciertas funciones web y de mensajería.
- Reinicia los dispositivos con regularidad y reduce las aplicaciones instaladas. Menos aplicaciones significa menos componentes que sirven anuncios y menos lugares donde puedan esconderse las fallas.
Qué significa esto para ti
Para la mayoría de los lectores, el riesgo realista de ser objeto de un ataque personalizado con spyware de nivel gubernamental es bajo, pero la lección se aplica ampliamente: las herramientas de privacidad funcionan para problemas específicos, y ninguna herramienta cubre todo. Una VPN ayuda con la privacidad de red. No es una defensa contra exploits. Si trabajas con fuentes sensibles o tienes razones para pensar que podrías ser un objetivo, considera el endurecimiento del dispositivo y el bloqueo de anuncios como esenciales, y evalúa los modos más estrictos que ofrece tu teléfono.
El trabajo de Citizen Lab también alimenta un debate político más amplio. Si quieres más sobre la investigación del grupo y la discusión sobre vigilancia y cifrado, lee nuestra cobertura sobre cómo Citizen Lab señala riesgos de cifrado en el Proyecto de Ley C-22 de Canadá.
Puntos clave
Los hallazgos de Al Jazeera muestran que el spyware de cero clics y los anuncios maliciosos son un método de entrega real, no solo teórico. No puedes controlar qué anuncios se sirven, pero sí puedes controlar cuán expuesto está tu dispositivo. Instala las actualizaciones del sistema operativo y del navegador tan pronto como lleguen, usa un bloqueador de anuncios o de contenido, y activa el Modo de bloqueo si tienes mayor riesgo. Sigue usando una VPN si se adapta a tus necesidades, pero no confíes en ella para detener un ataque que llega a través del contenido que tu dispositivo carga. Para el contexto más amplio sobre el trabajo de Citizen Lab y el debate sobre la vigilancia, consulta nuestro artículo sobre el Proyecto de Ley C-22 y los riesgos de cifrado.
 muestra que la coincidencia facial es solo una pieza de un sistema de identidad más grande que está tomando forma, uno que vincula la biometría con credenciales digitales. La expansión a nuevos entornos significa más lugares donde se puede pedir a los viajeros que participen, y más razones para entender las opciones disponibles.
## Privacidad del reconocimiento facial de CBP para viajeros: derechos y opciones de exclusión
Tres preguntas son las más importantes para los viajeros preocupados por la privacidad: cómo se recopilan los datos, cuánto tiempo se conservan y si puede negarse. El informe no responde a estas en detalle, así que trate lo siguiente como una lista de verificación y no como un conjunto de conclusiones.
- **Recopilación:** Pregunte qué se captura (una foto en vivo, una imagen de documento o ambas) y con qué se compara.
- **Retención:** Busque la información de retención publicada por CBP para las fotos tomadas a diferentes categorías de viajeros. No asuma que se aplica una única regla a todos.
- **Exclusión:** Consulte la guía oficial de CBP sobre si puede y cómo solicitar una verificación de identidad manual, y si eso varía según la categoría de viajero o la ubicación. Los carteles colocados en los puntos de control suelen ser la fuente más rápida del proceso actual.
Si desea una alternativa a la cámara, una solicitud cortés al oficial es un punto de partida razonable. Tenga en cuenta que negarse puede cambiar la rapidez con que se le procesa, y que las reglas pueden diferir según su ciudadanía y el tipo de cruce. Conocer el proceso antes de llegar al frente de la fila facilita la conversación.
## Pasos prácticos para limitar su exposición biométrica y en línea mientras viaja
No puede cambiar una cara de la misma manera que cambia una contraseña, por lo que los datos biométricos merecen una reflexión adicional. También tiene un control limitado sobre lo que sucede en un punto de control gubernamental. Sí tiene más control sobre el resto de su huella digital durante un viaje.
1. **Lea los avisos oficiales con antelación.** Revise la información de privacidad publicada por CBP para el tipo de viaje que va a realizar, para que conozca sus opciones antes de llegar.
2. **Limite lo que comparte públicamente.** Los planes de viaje, las tarjetas de embarque y las fotos del pasaporte publicadas en redes sociales aumentan su exposición. Evite publicarlos, especialmente antes de haber viajado.
3. **Proteja sus dispositivos.** Use contraseñas fuertes y únicas, active la autenticación de dos factores y mantenga el software actualizado antes de salir.
4. **Tenga cuidado con el Wi-Fi del aeropuerto.** Las redes públicas se comparten con desconocidos. Una VPN de reputación puede cifrar su tráfico en ellas, pero no hace nada para cambiar lo que sucede en una cámara fronteriza, así que mantenga su papel en perspectiva.
5. **Revise sus cuentas.** Revise qué aplicaciones contienen los datos de su pasaporte, fotos o documentos de viaje, y elimine todo lo que ya no necesite.
## Qué significa esto para usted
Si viaja internacionalmente, probablemente se encontrará con un control de reconocimiento facial, y las probabilidades de encontrarse con uno aumentan a medida que CBP amplía la tecnología. Eso no requiere alarma. Sí requiere preparación: sepa qué se recopila, busque la guía de retención y exclusión para su situación, y decida de antemano cómo quiere responder si se lo piden.
El punto más amplio es que la biometría fronteriza es una capa de su exposición, no el panorama completo. Las partes que puede controlar son sus cuentas, sus dispositivos y lo que comparte en línea, y vale la pena reforzarlas antes de viajar.
## Conclusiones clave
La privacidad del reconocimiento facial de CBP para viajeros es ahora una preocupación generalizada, no algo minoritario. Con los controles superando la marca de mil millones y más ubicaciones en camino, la mejor respuesta es mantenerse informado y tomar las medidas que puede controlar. Lea la guía oficial de CBP, haga preguntas en el punto de control si no está seguro y audite su propia exposición de datos antes de salir. Para ver cómo la implementación más amplia en los aeropuertos afecta sus opciones, lea nuestro artículo sobre [las puertas electrónicas biométricas y la identificación digital de la TSA y CBP](/en/tsa-cbp-expand-biometric-e-gates-and-digital-id-at-airports), y luego revise sus cuentas y dispositivos antes de su próximo viaje.](/api/img?p=articles%2F8146%2Fimage-0.jpg&w=640)
