Un consejo de seguridad muy conocido empieza a parecer incompleto: no hagas clic en enlaces sospechosos. Una nueva ronda de reportes señala que el spyware ha estado infectando los dispositivos de periodistas a través de anuncios en los que nunca hicieron clic. El mismo resumen de noticias también señaló un zero-day explotado en firewalls de Palo Alto, una falla crítica en Drupal y cargos penales contra un ingeniero de OpenAI acusado de colocar dispositivos de escucha en una sala de ejecutivos. El primer punto es el más importante para cualquiera que trabaje con fuentes sensibles, porque el spyware zero-click entregado mediante anuncios maliciosos que los periodistas encuentran mientras navegan cambia el aspecto que tiene la defensa personal.

Cómo llega el spyware publicitario zero-click a los periodistas

La palabra clave es "zero-click". El phishing tradicional necesita que una persona abra un archivo o toque un enlace. Un ataque zero-click no necesita ninguna acción del objetivo. Aquí, el canal de entrega es la publicidad en línea: se muestra un anuncio a una persona específica y ese anuncio basta para iniciar un compromiso.

Según la cobertura de la investigación de The Citizen Lab, la unidad de investigación de derechos digitales de la Universidad de Toronto, esta es la primera vez que se publican pruebas técnicas que muestran spyware mercenario sofisticado distribuido mediante anuncios dirigidos. Algunos reportes también describen a una agencia de publicidad israelí colocando anuncios que dejaban a las personas que los veían expuestas a ataques de spyware. Solo tenemos detalles a nivel de resumen sobre la mecánica técnica, así que trata los detalles concretos con cautela hasta que se lea la investigación completa.

Sin embargo, el patrón general está claro. Las redes publicitarias están diseñadas para seleccionar audiencias concretas y entregarles contenido sin su participación. Esa misma precisión resulta atractiva para los vendedores de vigilancia que quieren llegar a una persona específica, como un reportero, sin que esa persona haga nada malo. Un caso anterior involucró a decenas de dispositivos en una organización de medios: nuestro reportaje sobre los hallazgos de Citizen Lab acerca de dispositivos de Al Jazeera hackeados mediante anuncios maliciosos cubre cómo se documentó allí la misma categoría de ataque.

Por qué una VPN por sí sola no detiene este ataque

Este es un sitio de privacidad, así que vale la pena responder directamente la pregunta sobre la VPN. Una VPN cifra el tráfico entre tu dispositivo y el servidor VPN y oculta tu dirección IP a los sitios que visitas. Son beneficios reales, pero abordan un problema diferente.

Un anuncio malicioso se entrega por la web normal, y el contenido sigue llegando a tu navegador o aplicación tanto si tu conexión está tunelizada como si no. Si el dispositivo subyacente tiene una debilidad sin parchear que el contenido del anuncio puede explotar, la VPN no cambia eso. Algunos productos VPN incluyen bloqueo de anuncios o rastreadores a nivel de DNS, lo que puede reducir la exposición, pero se trata de una función aparte y no de una garantía. Una VPN es una capa, y no debe confundirse con protección contra spyware entregado mediante el contenido que cargas.

Protecciones que reducen la exposición: actualizaciones, bloqueadores de anuncios y modos de bloqueo

Ningún paso aislado hace que una persona sea inmune a un atacante bien financiado, pero varias medidas reducen la brecha.

  • Instala las actualizaciones con prontitud. El spyware de este tipo depende de fallas de software. Las actualizaciones del sistema operativo y del navegador cierran esas fallas, así que retrasarlas mantiene la puerta abierta por más tiempo.
  • Usa un bloqueador de anuncios. Si la vía de infección es un anuncio, entonces no cargar el anuncio elimina la ruta de entrega. Los bloqueadores basados en el navegador y el filtrado a nivel de red son ambas opciones.
  • Activa los modos reforzados. Las principales plataformas móviles ofrecen ajustes de alta seguridad pensados para personas con riesgo elevado de ataques dirigidos. Intercambian algo de comodidad por una superficie de ataque más pequeña, lo que es un intercambio razonable para periodistas, activistas y usuarios similares.
  • Reduce lo que se ejecuta en segundo plano. Elimina las aplicaciones que no uses, limita las aplicaciones con muchos anuncios y mantén los navegadores y las aplicaciones actualizados junto con el sistema operativo.
  • Reinicia y vigila. Los reinicios periódicos y la atención al consumo inusual de batería, al calor o a los fallos no son prueba de nada, pero son hábitos baratos. Las redacciones con personal de TI o de seguridad deberían pedirles que revisen los dispositivos del personal que cubre temas sensibles.

Las organizaciones también tienen un papel. Un medio de comunicación puede establecer una política básica que exija actualizaciones, modos reforzados obligatorios para los reporteros de alto riesgo y bloqueo de anuncios aprobado en los dispositivos de trabajo, en lugar de dejar que cada reportero lo resuelva por su cuenta.

Zero-day de Palo Alto: un recordatorio para parchear los dispositivos de borde

El mismo resumen señaló que se está explotando un zero-day en firewalls de Palo Alto. No tenemos más detalles del resumen aparte de eso, así que consulta los avisos propios del proveedor para conocer las versiones afectadas y las correcciones. La lección se solapa con la historia del spyware: los atacantes van tras el software que la gente supone que los protege. Los firewalls y otros dispositivos de borde se sitúan entre una red e internet, lo que los convierte en objetivos valiosos, y un zero-day explotado significa que los ataques están ocurriendo antes de que haya una corrección disponible o al mismo tiempo que esta aparece.

Si gestionas ese tipo de equipos, trata las indicaciones del proveedor como urgentes, restringe las interfaces de administración de la exposición pública cuando sea posible y revisa los registros en busca de actividad inusual. El resumen también mencionó una falla crítica en Drupal, que los propietarios de sitios que ejecutan esa plataforma deberían verificar con los avisos de seguridad oficiales.

Qué significa esto para ti

Si eres periodista, investigador, activista o cualquier persona que pueda interesar a un gobierno o a un contratista de vigilancia, "no hago clic en enlaces extraños" ya no es suficiente. El riesgo puede llegar mediante la navegación normal. Para la mayoría de los demás lectores, el riesgo práctico es menor, pero los pasos que ayudan a los usuarios de alto riesgo también benefician a todos: actualizaciones, bloqueo de anuncios y un criterio sensato sobre qué aplicaciones conservas.

El cargo por escuchas ilegales contra OpenAI es una historia aparte, pero encaja en un tema: las amenazas de vigilancia van desde el software remoto hasta los dispositivos físicos, y las conversaciones sensibles merecen cuidado en ambos mundos.

Puntos clave

  • El spyware zero-click en anuncios maliciosos que los periodistas pueden ver puede comprometer un dispositivo sin ningún clic, así que la precaución con los enlaces por sí sola no es una defensa.
  • Una VPN protege tu conexión, no tu dispositivo frente al contenido de explotación, así que no confíes en ella para esta amenaza.
  • Aplica las actualizaciones del sistema operativo y del navegador en cuanto estén disponibles.
  • Activa los modos de bloqueo o reforzados en tu teléfono y usa bloqueo de anuncios.
  • Parchea rápidamente los dispositivos de borde, como los firewalls de Palo Alto, y sigue los avisos del proveedor.

Para ver un ejemplo documentado de compromiso mediante anuncios maliciosos, lee nuestro reportaje sobre la investigación de Citizen Lab sobre Al Jazeera y luego dedica diez minutos hoy a actualizar tus dispositivos y activar las protecciones más sólidas que ofrezcan.