El CERT Nacional ha emitido una advertencia de que el spyware puede infectar teléfonos a través de anuncios en línea sin que el usuario haga clic en nada. La técnica se llama AdFection, y el modelo de spyware publicitario de cero clics AdFection es importante porque elimina la única defensa en la que la mayoría de la gente confía: no tocar cosas sospechosas. Esta publicación explica lo que se sabe, cómo funciona esta clase de ataque y dónde encaja una VPN.

Sobre qué está advirtiendo el CERT Nacional

Según el informe sobre la advertencia, el CERT Nacional dice que un teléfono puede verse comprometido simplemente por cargar un anuncio. Sin toques, sin avisos de descarga, sin páginas de inicio de sesión falsas. La técnica lleva el nombre de AdFection.

La advertencia se produce tras una investigación reportada a mediados de octubre de 2026. La cobertura en buscadores atribuye los hallazgos a Citizen Lab, cuyos investigadores describieron AdFection como una técnica de ciberespionaje. Esos resúmenes dicen que la investigación vinculó a una empresa de publicidad llamada Discover-Tech con proveedores de spyware mercenario, nombrando a Candiru y Bindecy, y que los dispositivos de Al Jazeera estuvieron entre los atacados. No hemos verificado esos detalles de forma independiente, así que trátelos como los hallazgos reportados de esa investigación y no como un hecho establecido.

El punto clave para los lectores comunes es el método de entrega. El ataque llega a través del mismo canal publicitario que sirve banners y anuncios de video en aplicaciones y sitios web.

Cómo funciona un ataque publicitario de cero clics

El artículo original es breve sobre la mecánica, pero los resúmenes de la investigación ofrecen un esquema útil. Describen a los atacantes explotando el ecosistema de subasta en tiempo real, la subasta automatizada que decide qué anuncio aparece en tu pantalla en la fracción de segundo antes de que se cargue una página o aplicación.

En términos simplificados, la secuencia reportada es así:

  • Segmentación: un operador elige a una persona o dispositivo específico al que quiere llegar.
  • Huella digital: se utiliza el sistema publicitario para reconocer ese dispositivo, basándose en el tipo de información que los anuncios normalmente recopilan.
  • Entrega: cuando el dispositivo objetivo carga un anuncio, se sirve una carga maliciosa en lugar de, o junto con, el contenido normal.
  • Infección: si el dispositivo tiene una falla explotable, el spyware puede instalarse sin ninguna interacción.

Por esto se describe el ataque como de cero clics. La víctima no hace nada inusual. Simplemente navega o usa una aplicación que muestra anuncios. Los resúmenes de la investigación enfatizan que este enfoque está dirigido a individuos específicos, lo que encaja con el patrón del spyware comercial en lugar del malware masivo. Aun así, una advertencia pública de un CERT nacional señala que la técnica merece tomarse en serio mucho más allá de periodistas y activistas.

Dónde ayuda una VPN y dónde no

Esta historia es un buen recordatorio de lo que realmente hace una VPN. Una VPN cifra el tráfico entre tu dispositivo y el servidor VPN, y oculta tu dirección IP de los sitios que visitas. Eso es genuinamente útil en Wi-Fi público y para limitar algunos tipos de rastreo.

Lo que una VPN no hace es inspeccionar o bloquear el contenido que llega a través de ese túnel cifrado. Si una carga publicitaria maliciosa se entrega a tu teléfono, la VPN la transporta como cualquier otro dato. No elimina la vulnerabilidad que ataca la carga, y no impide que una red publicitaria sirva el anuncio. Ocultar tu IP también hace poco contra la toma de huellas del dispositivo que describen los resúmenes de la investigación, ya que eso se basa en otras señales.

Hay una pequeña excepción que vale la pena mencionar con cuidado: algunas aplicaciones VPN incluyen bloqueo opcional de anuncios o rastreadores. Esa es una función separada del túnel cifrado en sí, y su eficacia varía. Si dependes de ella, verifica que esté activada y mantenla en perspectiva.

La lección más amplia trata sobre la confianza en diferentes capas. El cifrado protege los datos en tránsito, pero no dice nada sobre si el contenido que se entrega es seguro. Analizamos una cuestión de confianza relacionada en nuestro artículo sobre la revocación de certificados TLS y las repercusiones de GlobalSign, que muestra cuántos mecanismos separados hay entre tú y un sitio web.

Qué deben hacer ahora los usuarios de iPhone, iPad y Windows

El resumen del CERT Nacional que tenemos no enumera vulnerabilidades específicas ni versiones de software afectadas, así que no las adivinaremos. Los siguientes pasos son generales, de bajo costo y sensatos a la luz de este tipo de amenaza.

iPhone y iPad

  • Instala la última actualización de iOS o iPadOS. Los ataques de cero clics dependen de fallas sin parchear, así que las actualizaciones son la protección más directa.
  • Considera activar el Modo de bloqueo si tienes un riesgo elevado, como periodistas, activistas o alguien que maneja trabajo sensible. Reduce la funcionalidad a cambio de una superficie de ataque más pequeña.
  • Limita la personalización de anuncios en tu configuración de privacidad para reducir los datos que pueden usar los anuncios.

Windows

  • Ejecuta Windows Update y actualiza tu navegador, ya que los navegadores son donde se cargan los anuncios.
  • Usa un bloqueador de contenido de reputación o una configuración del navegador que bloquee anuncios y rastreadores.
  • Mantén habilitadas las herramientas de seguridad integradas.

Android y otros dispositivos

  • Aplica la misma lógica: instala las actualizaciones del sistema y del navegador con prontitud y usa bloqueo de anuncios o contenido.

Qué significa esto para ti

Es poco probable que la mayoría de las personas sea el objetivo previsto del spyware mercenario. Pero el canal de entrega, la publicidad en línea, es uno que todos compartimos, y las defensas son lo suficientemente simples como para adoptarlas independientemente de tu nivel de riesgo. La conclusión práctica es que las protecciones más fuertes aquí son las aburridas: software parcheado y menos anuncios llegando a tu dispositivo.

Una VPN sigue siendo una herramienta de privacidad que vale la pena para lo que está diseñada a hacer. Simplemente no debe tratarse como protección contra anuncios maliciosos.

Conclusiones prácticas

  • Actualiza tu teléfono, tableta, computadora y navegador hoy, y habilita las actualizaciones automáticas.
  • Activa el bloqueo de anuncios o contenido en tu navegador o configuración del sistema.
  • Reduce la personalización de anuncios para limitar los datos de toma de huellas.
  • Si tienes mayor riesgo, considera el Modo de bloqueo en dispositivos Apple.
  • Trata una VPN como una capa de privacidad, no como una defensa contra el spyware publicitario de cero clics AdFection o ataques similares.

La advertencia del CERT Nacional es un recordatorio para revisar lo básico. Diez minutos dedicados a actualizaciones y bloqueo de anuncios hacen más contra esta amenaza que cualquier cantidad de cifrado de tráfico.