El spyware «sin clics» en los anuncios cambia la forma de gestionar los dispositivos

El 15 de octubre de 2026, Citizen Lab publicó «Exposing AdFection», que describe como la primera confirmación técnica pública de la existencia de software espía mercenario distribuido a través de anuncios online dirigidos sin necesidad de hacer clic. Los investigadores relacionan los ataques a al menos 45 dispositivos de Al Jazeera en 2024 y 2025 con el software espía de Candiru, un proveedor que ha cambiado su nombre por el de Integrity Labs. Si el mero hecho de mostrar un anuncio puede infectar un teléfono, no basta con decir al personal que tenga cuidado. La seguridad de los dispositivos sigue siendo la primera línea de defensa, pero los gobiernos y los operadores de infraestructuras críticas también deben garantizar que las conversaciones confidenciales se desarrollen en dispositivos gestionados y a través de canales de comunicación regulados.

Lo que demuestra el informe del Citizen Lab

El informe describe cómo un anuncio puede convertirse en una vía de ataque. Discover-Tech, una empresa israelí, compró anuncios que contenían una etiqueta de script. Cuando se cargaba un anuncio, la etiqueta se conectaba con un servidor de Discover-Tech. Al parecer, el servidor utilizaba la dirección IP del usuario y los identificadores publicitarios para decidir si devolvía código. Si el usuario no era el destinatario, devolvía una respuesta vacía.

La operación tuvo un amplio alcance. Citizen Lab analizó casi 4.000 millones de registros de pujas de Discover-Tech y detectó sus anuncios en cerca de 200.000 sitios web y aplicaciones de docenas de países a lo largo de cuatro meses. Discover-Tech permaneció en las listas de proveedores «certificados» y «aprobados» de Google e IAB Europe desde 2020 hasta que ambas organizaciones lo eliminaron a principios de octubre de 2026.

Lo que el informe no establece

Una impresión publicitaria no es prueba de infección. Citizen Lab afirma que una impresión «no confirma por sí misma que se haya producido un ataque dirigido o una infección», aunque sí habría dado lugar a la elaboración de perfiles. El informe tampoco identifica qué gobiernos utilizan estas capacidades. Cobertura de TechCrunch cobertura se centra en los gobiernos, pero ese enfoque debería contrastarse con el informe antes de repetirlo.

El informe sí que confirma el alcance. Los anuncios de Discover-Tech aparecieron en redes utilizadas por ministerios de Defensa, fuerzas armadas, agencias cibernéticas nacionales, la OTAN y organizaciones de infraestructuras críticas, incluido el operador de la red eléctrica nacional de Suecia. Esto demuestra la exposición, pero no confirma que se haya producido una intrusión.

Consecuencias operativas para el Gobierno y las infraestructuras críticas

Los anuncios maliciosos pueden llegar a aplicaciones y sitios web utilizados por personal de defensa, líderes políticos y personas encargadas del mantenimiento de infraestructuras críticas. Un teléfono comprometido puede poner en peligro la información almacenada en él y las comunicaciones que pasan por él. El consejo habitual de evitar enlaces sospechosos ofrece poca protección cuando no es necesario hacer clic en ellos.

Los equipos de contratación pública deberían preguntar a los proveedores cómo gestionan la publicidad en los dispositivos vinculados a programas gubernamentales. Los equipos de cumplimiento normativo también deben tener en cuenta la gestión de registros, ya que los mensajes intercambiados a través de aplicaciones personales pueden quedar fuera de los controles habituales de conservación y auditoría.

Recomendaciones de Citizen Lab para los defensores

Citizen Lab considera que el bloqueo de los anuncios dirigidos a nivel de puerta de enlace es la defensa más práctica hasta que el sector publicitario pueda detener de forma fiable este tipo de ataques. Recomienda bloquear los anuncios y el seguimiento en los dispositivos proporcionados por la empresa y a nivel de puerta de enlace. También recomienda utilizar la gestión de dispositivos móviles (MDM) para excluir a los dispositivos proporcionados por la empresa de la publicidad dirigida. En el caso de los dispositivos gubernamentales, aboga por desactivar los identificadores publicitarios únicos y elaborar directrices para los dispositivos personales utilizados en espacios gubernamentales.

Se trata de recomendaciones, no de requisitos legales. El informe también señala que la Agencia de Seguridad Nacional de EE. UU. y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras advirtieron en 2018 y 2020 de que los anuncios maliciosos pueden instalar malware y recomendaron el uso de bloqueadores de anuncios.

Por qué el canal es tan importante como el dispositivo

Los controles de dispositivos gestionados solo se aplican a los dispositivos que gestiona la organización. Cuando el canal oficial es lento, no está disponible o resulta difícil de usar, el personal puede recurrir a dispositivos personales o a aplicaciones de mensajería para consumidores. Ahí es donde el software espía difundido a través de anuncios resulta más difícil de controlar. Las medidas más estrictas del informe se aplican a los dispositivos propiedad del Gobierno; en el caso de los dispositivos personales, ofrece orientaciones en lugar de un control directo.

La política debe subsanar esa carencia. El personal necesita un canal gestionado que sea lo suficientemente práctico como para sustituir a las alternativas personales. Evalúa a los proveedores en función de cinco criterios: control de la infraestructura y de las claves de cifrado; certificación independiente, incluyendo su alcance y la versión cubierta; identidades verificadas de los participantes; funcionamiento fuera de banda que no dependa de la red principal; y registros de responsabilidad que respalden la revisión posterior a un incidente. BlackBerry® Secure Communications se ha diseñado en torno a estos criterios y cuenta con la certificación según las normas NIAP y «Restricted» de la OTAN.

Un producto de comunicaciones no puede reparar un dispositivo comprometido. Los controles del dispositivo siguen siendo la primera línea de defensa; un canal regulado limita lo que ocurre a continuación.

Pasos para este trimestre

Este trimestre, se debe realizar un inventario de las aplicaciones y los canales que utiliza el personal para asuntos oficiales, incluidas aquellas que se utilizan en dispositivos personales y en aplicaciones de mensajería para consumidores. Se debe confirmar, a través del MDM, que los identificadores publicitarios estén desactivados en los dispositivos móviles propiedad del Gobierno, y comprobar si el bloqueo de anuncios y rastreadores está activado en la pasarela y en los dispositivos proporcionados por la empresa. Se deben redactar directrices para los dispositivos personales utilizados en oficinas y centros de operaciones, tal y como recomienda Citizen Lab. Especifique el canal gestionado que el personal debe utilizar para la coordinación de asuntos sensibles y, a continuación, pruébelo en condiciones de degradación de la red principal. Los asesores jurídicos y de cumplimiento normativo también deben distinguir entre las obligaciones vinculantes y las orientaciones de carácter consultivo, ya que esta publicación no constituye asesoramiento jurídico.

La mejor defensa contra un ataque «zero-click» es un dispositivo controlado que transmita comunicaciones verificadas a través de un canal regulado.