Un nuevo informe de Citizen Lab, cubierto por The Globe and Mail, describe lo que puede ser uno de los usos más inquietantes de la economía publicitaria hasta la fecha: spyware publicitario de zero-click con el que los periodistas nunca tuvieron que interactuar. Según el informe, empresas israelíes montaron un "ataque entregado mediante publicidad dirigida" para infectar los dispositivos de periodistas con spyware. La misma maquinaria construida para mostrarte zapatos y servicios de streaming, en otras palabras, puede según los informes reutilizarse para llegar al teléfono de una persona específica.
El resumen que tenemos es breve, así que esta entrada se ciñe a lo que se ha reportado y explica los conceptos más amplios que lo rodean. Donde no hay detalles disponibles, lo decimos.
Qué encontró Citizen Lab en los ataques entregados por publicidad
Citizen Lab, el grupo de investigación conocido por investigar amenazas digitales contra la sociedad civil, concluyó que empresas israelíes llevaron a cabo un ataque entregado mediante publicidad dirigida. Los objetivos eran periodistas, y el resultado fue spyware en sus dispositivos. El informe caracteriza el método como zero-click, lo que significa que la víctima no tuvo que tocar, descargar ni aprobar nada.
La cobertura disponible para nosotros no detalla cada detalle técnico, como qué dispositivos, qué redes publicitarias o cuántas personas se vieron afectadas, así que no vamos a adivinarlos. La conclusión clave es el canal de entrega: la publicidad, no un correo electrónico malicioso ni un mensaje de texto sospechoso.
Cómo el spyware publicitario de zero-click llega a los dispositivos de los periodistas
Un ataque de zero-click funciona sin que la víctima haga nada. En lugar de persuadir a alguien para que abra un enlace malicioso, el atacante se apoya en que el software procese contenido automáticamente. Cuando una página o una app carga un anuncio, el dispositivo obtiene y renderiza ese contenido por su cuenta. Si un atacante puede colocar contenido malicioso en ese flujo y el dispositivo tiene una vulnerabilidad sin parchear, la infección puede ocurrir mientras se carga el contenido.
Esa es una explicación general de cómo pueden funcionar los ataques transmitidos por anuncios, no una descripción del exploit específico del informe de Citizen Lab. Lo que importa para los lectores es el principio: cualquier cosa que tu dispositivo cargue automáticamente es potencialmente un punto de entrada, y eso incluye contenido que nunca elegiste ver.
Las técnicas de zero-click no son nuevas en el mundo del spyware. Nuestra cobertura de un gusano zero-click de WeChat describía cómo una sola llamada perdida podía bastar para comprometer una app de mensajería ampliamente usada. La vía publicitaria añade un giro distinto: el atacante no necesita tu número de teléfono ni una cuenta, solo una forma de poner contenido delante de ti.
Por qué la publicidad dirigida hace que los periodistas sean fáciles de alcanzar
La publicidad dirigida existe para permitir que un comprador elija quién ve un mensaje. Las audiencias pueden acotarse por intereses, ubicación, tipo de dispositivo y otras señales. Esa precisión es una característica para los anunciantes legítimos. Para un proveedor de vigilancia, es una forma de apuntar un ataque a una persona concreta o a un grupo pequeño sin difundirlo ampliamente, lo que también reduce las probabilidades de detección.
Los periodistas encajan obviamente en este tipo de puntería. Su trabajo, intereses y ubicaciones suelen ser públicos, y sus dispositivos pueden contener fuentes y material no publicado. El hallazgo de Citizen Lab sugiere que la infraestructura de rastreo que hay detrás de los anuncios cotidianos puede servir también como sistema de entrega de spyware.
Qué significa esto para ti
La mayoría de los lectores no son el objetivo previsto de una operación de spyware como esta. Los ataques dirigidos de este tipo suelen ser caros y van dirigidos a personas concretas. Pero el hallazgo sigue importando a todos, por dos razones.
Primero, demuestra que el contenido publicitario no es solo una molestia o un problema de privacidad. Es parte de la superficie de ataque de tu dispositivo. Segundo, las defensas que ayudan contra un ataque sofisticado también te protegen contra amenazas ordinarias: actualizaciones puntuales, menos cargas automáticas de contenido y un control más estricto sobre lo que acepta tu dispositivo.
Si trabajas en periodismo, derechos humanos, política o cualquier campo en el que puedas atraer a un adversario bien financiado, considera tu riesgo más alto y actúa en consecuencia.
Pasos prácticos para reducir tu exposición
Ningún paso por sí solo te hace inmune a los ataques de zero-click, pero estas medidas reducen la oportunidad:
- Actualiza tu sistema operativo y tus apps de inmediato. Los ataques de zero-click suelen depender de fallos sin parchear. La solución de emergencia de Google para un zero-day de Chrome explotado en la naturaleza es un buen ejemplo de por qué esperar unos días puede importar.
- Mantén tu navegador al día. Los navegadores procesan contenido publicitario constantemente, así que activa las actualizaciones automáticas y reinicia cuando se te solicite.
- Bloquea anuncios y rastreadores siempre que puedas. Un bloqueador de contenido de confianza o las protecciones a nivel del navegador reducen cuánto contenido publicitario de terceros carga tu dispositivo. Esto es un reductor de riesgo, no una garantía.
- Activa el Modo de bloqueo si tienes mayor riesgo. En dispositivos Apple compatibles, el Modo de bloqueo restringe funciones que los atacantes suelen aprovechar. Cambia algo de comodidad por una superficie de ataque más pequeña.
- Limita la personalización de anuncios. Desactiva los identificadores de seguimiento publicitario en los ajustes de tu dispositivo y rechaza los anuncios personalizados. Esto hace que seas más difícil de singularizar, aunque no detendrá todos los métodos de segmentación.
- Reinicia periódicamente y elimina las apps que no uses. Menos apps y reinicios regulares dejan menos espacio para amenazas persistentes.
La conclusión
El informe sobre el spyware publicitario de zero-click al que se enfrentaron los periodistas es un recordatorio de que la línea entre la tecnología publicitaria y la tecnología de vigilancia puede ser fina. No puedes controlar lo que hacen las redes publicitarias, pero sí puedes controlar con qué rapidez se parchean tus dispositivos y cuánto contenido no confiable cargan.
La lista de acciones de hoy es corta: instala ahora mismo las actualizaciones pendientes en tu teléfono y tu navegador, activa las actualizaciones automáticas y, si tienes mayor riesgo, activa el Modo de bloqueo. Esos pocos minutos de esfuerzo cierran las brechas de las que dependen ataques como este.
