Fabricantes de software espía respaldados por gobiernos están explotando la infraestructura de redes publicitarias globales para comprometer dispositivos sin que sus usuarios realicen ninguna acción. El mecanismo, conocido como ataque de 'clic cero', elimina el eslabón más débil de la cadena de seguridad tradicional: el error humano.
Un informe reciente de Citizen Lab —unidad de investigación de derechos digitales de la Universidad de Toronto— documenta cómo una empresa israelí identificada como Discover-Tech opera como intermediario entre proveedores de publicidad digital legítimos y fabricantes de spyware mercenario. Su plataforma, denominada Controlium, permite dirigir contenido malicioso a dispositivos individuales de forma simultánea con la entrega de anuncios convencionales, sin que el usuario o la organización objetivo perciban actividad sospechosa.
El vector: publicidad digital como superficie de ataque
Dos fabricantes de spyware —Candiru y Bindecy— han sido confirmados como usuarios de esta infraestructura. Ambos comercializan productos capaces de extraer datos, activar micrófonos y cámaras, y exfiltrar comunicaciones cifradas desde dispositivos infectados. La particularidad del modelo es su escala: las redes publicitarias tienen alcance sobre prácticamente cualquier dispositivo conectado a internet, lo que convierte cada impresión de anuncio en un vector potencial de ataque.
El caso más documentado involucra a la organización mediática Al Jazeera, donde al menos 45 equipos con Windows fueron comprometidos mediante anuncios que contenían código malicioso asociado a Candiru, en un período que abarca 2024 y 2025. No se ha determinado públicamente qué gobiernos ordenaron los ataques, pero la evidencia técnica confirma por primera vez el uso operativo de spyware de clic cero distribuido a través de canales publicitarios.
Implicaciones para la seguridad corporativa
Lo que distingue este vector de amenazas anteriores es su invisibilidad estructural. Los ataques de malvertising —publicidad maliciosa— no son nuevos, pero su uso para distribuir spyware de nivel gubernamental representa una escalada cualitativa. Cualquier organización cuyas redes permitan tráfico publicitario no filtrado está potencialmente expuesta, independientemente de sus controles de acceso o políticas de seguridad perimetral.
Un hallazgo adicional agrava el panorama: parte del código fuente de Controlium quedó expuesto en sus propias páginas de inicio de sesión, lo que permitió a los investigadores reconstruir el panel de control sin autenticación. Esto sugiere que la plataforma no solo representa un riesgo para sus objetivos, sino que su propia arquitectura presenta vulnerabilidades que terceros podrían explotar.
La recomendación técnica más inmediata entre especialistas en ciberseguridad apunta al despliegue de bloqueadores de anuncios a nivel de red —no solo en navegadores individuales— como medida de contención. Sin embargo, la integración profunda de la publicidad digital en aplicaciones, plataformas y servicios empresariales limita la efectividad de controles parciales. La superficie de exposición, en la práctica, es difícil de acotar sin políticas de filtrado de tráfico más agresivas a nivel de infraestructura.
