Un programa espía infectaba con solo cargar un anuncio, sin hacer clic
Abres una app de sudoku en el móvil, o la web del tiempo para ver si llueve, y en una esquina asoma un anuncio de ofertas que ni miras. No lo tocas y no descargas nada. En la cadena de televisión Al Jazeera, eso bastó para atacar al menos 45 equipos entre 2024 y 2025, y en uno de ellos apareció un programa espía.
Lo publicó Citizen Lab, el laboratorio de la Universidad de Toronto que investiga programas espía como Pegasus y Candiru, el jueves 15 de octubre de 2026. Una empresa israelí de publicidad, Discover-Tech, compraba huecos para anuncios, y cuando el anuncio le llegaba a la persona elegida, le abría la puerta al programa espía de Candiru, que vende sus herramientas a gobiernos. Según el laboratorio, es la primera confirmación técnica pública de un ataque así. ¿Te afecta? Casi nadie que veía esos anuncios era el objetivo, aunque el anuncio sí podía recoger datos de tu navegador. España sale en los datos de Confiant, otra empresa que investigó el caso. Vio indicios de que los anuncios llegaron a la red del Ministerio para la Transformación Digital y de la Función Pública, algo que no prueba que nadie de allí fuera espiado.
Qué es un ataque de «clic cero»
Casi todos los engaños que hemos contado en Ping Cero necesitan que hagas algo, como pegar una orden con el falso captcha de ClickFix o bajarte el instalador de los anuncios de Google que enseñaban bing.com. Si no pulsas, no pasa nada.
Un ataque de clic cero se salta ese paso. Basta con que el móvil o el ordenador reciba algo y lo procese solo, sea un mensaje, una web o, en este caso, un anuncio. Suele aprovechar un fallo del navegador o del sistema, y ni Citizen Lab ni Confiant dicen cuál se usó aquí. Pasaba con DarkSword en los iPhone sin actualizar, donde bastaba con entrar en una web.
Cómo un anuncio normal escondía el ataque
Cada vez que una web o una app tiene un hueco para un anuncio, se celebra una subasta en milésimas de segundo. A las empresas que pujan les llegan datos de quien lo va a ver, como su IP y el identificador de publicidad, un número que Android y el iPhone dan a cada teléfono para que la publicidad lo reconozca de una app a otra.
Discover-Tech pujaba como un anunciante más, a través de plataformas como las de Google o Beeswax, de Comcast. Sus anuncios parecían corrientes, con ofertas genéricas. Dentro llevaban una instrucción escondida. Al cargarse, el anuncio mandaba a un servidor de Discover-Tech tu identificador de publicidad y tu IP, y el servidor devolvía el código del ataque si eras el objetivo y una respuesta vacía si no.
Con ese truco esquivaba los controles. Las plataformas revisan los anuncios antes de servirlos, pero este no llevaba nada malo y el código peligroso solo le llegaba a una persona concreta.
En los registros de la red de Al Jazeera, primero el equipo contactaba con Discover-Tech, después con un servidor de Candiru que revisaba el dispositivo y al final con el que controla el programa espía. Al Jazeera aisló un archivo de Windows de uno de los equipos infectados, y Citizen Lab lo atribuye a Candiru con un alto grado de confianza. Dijo a TechCrunch que no está claro qué gobiernos hay detrás.
Hasta dónde llegaron sus anuncios
Citizen Lab revisó las pujas de Discover-Tech de marzo a junio de 2026, y Confiant, una empresa que vigila la publicidad maliciosa, sus anuncios del 1 de abril al 10 de septiembre.
| Dato | Cifra | Quién lo midió |
|---|---|---|
| Equipos de Al Jazeera atacados (2024 y 2025) | Al menos 45 | Citizen Lab |
| Pujas por un hueco de anuncio (marzo a junio de 2026) | 3.770 millones, de las que ganó 442 millones | Citizen Lab |
| Pujas por anuncios que, al parecer, llevaban la instrucción escondida | Al menos 718 millones (el 19 %) | Citizen Lab |
| Apps y webs que mostraron esos anuncios | 75.373 apps y 120.768 webs | Citizen Lab |
| Anuncios al día | Unos 10 millones | Confiant |
| Impresiones del traspaso a Candiru vistas en España (abril a septiembre de 2026) | 249 | Confiant |
Entre las apps que enseñaron esos anuncios están Viber, Truecaller, Duolingo y MX Player, y entre las webs, weather.com, Yahoo o Tripadvisor. Citizen Lab no dice que supieran nada, porque los anuncios les llegaban por las subastas.
Qué dicen los informes sobre el ministerio español
Citizen Lab recoge en su apartado 5 el trabajo de Confiant, cuyos investigadores vieron indicios de que los anuncios se mostraron en redes de grandes organismos públicos, como el Departamento de Defensa de Estados Unidos, el Ministerio de Asuntos Económicos de los Países Bajos o el Ministerio para la Transformación Digital y de la Función Pública. La tabla de Confiant da la red concreta, la AS200521 (SEAP-AGE), que en el registro europeo RIPE figura a nombre de ese ministerio.
Ninguno de los dos informes dice que alguien del ministerio fuera espiado, ni siquiera que fuera un objetivo. Confiant avisa de que llegar a una de esas redes no prueba por sí solo que alguien fuera elegido, porque la red identifica a una organización y no a una persona, y quien vio el anuncio pudo estar en una conexión de invitados. Citizen Lab añade que ver un anuncio de Discover-Tech no confirma ni el ataque ni la infección. A 16 de octubre no hemos encontrado ninguna reacción del ministerio.
Sobre Candiru y España hay dos datos más, y los informes no relacionan ninguno con el ministerio. Confiant vio el traspaso a Candiru, el momento en que el anuncio pasa el testigo a sus servidores, en nueve países. España es uno de ellos, con 249 impresiones entre abril y septiembre, y Bélgica concentró el 56 % del total. Confiant dice que, en los nueve países en conjunto, la gran mayoría de esos anuncios llegó a conexiones residenciales o móviles y no a redes oficiales.
El otro dato es de 2022. En el caso CatalanGate, Citizen Lab identificó al menos 65 personas en Cataluña atacadas o infectadas con Pegasus (63) o con Candiru (4, y al menos dos con ambos). No atribuyó los ataques de forma concluyente a ningún gobierno, aunque vio indicios que apuntaban a las autoridades españolas. Es un caso anterior y distinto, y los informes de ahora no lo vinculan con el ministerio.
Por qué casi nadie era el objetivo
Estados Unidos metió a Candiru en su lista negra comercial en 2021 por vender programas espía a gobiernos que los usaron contra periodistas, activistas y empresarios. Según Citizen Lab y Recorded Future, desde diciembre de 2024 se presenta como Integrity Labs. Sus objetivos son personas concretas, y el volumen lo refleja. Discover-Tech servía millones de anuncios al día, y el traspaso a Candiru se quedaba en cientos o pocos miles diarios en todo el mundo, según Confiant.
Que no seas el objetivo no quiere decir que el anuncio te deje en paz. Recogía datos de tu navegador, como las cookies de la página y la IP, y se los mandaba a Discover-Tech. Confiant cree que así armó un registro de identidades para escoger después a quién atacar, y Citizen Lab calcula que probablemente millones de dispositivos se perfilaron sin que sus dueños lo supieran.
Qué han hecho Google e IAB Europe
Google colaboró en la investigación y a principios de octubre cortó a Discover-Tech el acceso a sus plataformas de anuncios. En su lista de proveedores publicitarios (archivo CSV) ya no aparece este 16 de octubre.
IAB Europe, la asociación europea de la publicidad digital, lleva la lista de empresas aprobadas para su sistema de consentimiento, el de muchos avisos de cookies. Discover-Tech dejó de figurar en ella el 8 de octubre de 2026, y el día 15 IAB Europe explicó en un comunicado que la tiene suspendida tras una auditoría que halló incumplimientos de sus normas, y que podría expulsarla si se confirma lo publicado.
Beeswax quitó a Discover-Tech de su plataforma, Vungle le pausó el acceso y Eskimi bloqueó sus cuentas. Bill Marczak, de Citizen Lab, dijo a TechCrunch que Discover-Tech es «seguramente solo la punta del iceberg».
Los ajustes del móvil que reducen el rastreo
Citizen Lab propone varias medidas para particulares. En Android puedes borrar el identificador de publicidad con los pasos de la ayuda de Google.
- Abre Ajustes.
- Toca Privacidad > Anuncios.
- Toca Eliminar ID de publicidad y confirma los cambios.
Al eliminarlo, el móvil no te asigna otro y las apps dejan de enseñarte anuncios basados en ese ID, aunque seguirás viendo publicidad y algunas apps usan identificadores propios. En el mismo menú está Cambiar ID de publicidad, que Citizen Lab aconseja usar de vez en cuando. Si no encuentras el menú, escribe «anuncios» en el buscador de Ajustes.
En el iPhone, la ayuda de Apple explica cómo negar a todas las apps el acceso a ese identificador.
- Abre Ajustes.
- Toca Privacidad y seguridad > Rastreo.
- Desactiva Permitir que las apps soliciten rastrearte.
Con ese ajuste apagado, el iPhone trata cada app como si le hubieras dicho «Pedir a la app que no rastree», y la app no puede leer el identificador de publicidad del sistema (el IDFA). Si lo dejas encendido, cada app te pregunta y basta con elegir esa opción.
Un bloqueador gratuito para el navegador
Security Planner, la guía de Consumer Reports a la que remite Citizen Lab, recomienda estas extensiones gratuitas.
- uBlock Origin para Firefox, que también funciona en Firefox para Android.
- uBlock Origin Lite para Chrome (en el ordenador, porque Chrome en Android no admite extensiones) y para Safari, que en el iPhone se instala desde el App Store y pide iOS 18.5 o posterior.
- Privacy Badger, de la fundación EFF, que frena los rastreadores y no tiene versión para Safari del iPhone; la propia EFF dice que, si te molesta la publicidad, puedes instalar además un bloqueador tradicional.
Un bloqueador del navegador no llega a los anuncios de las apps, que se llevaban tres de cada cuatro pujas (el 76,7 %) de Discover-Tech. Borrar el identificador cierra solo una de las tres vías con las que, según Citizen Lab, la plataforma elegía a su víctima (el identificador de publicidad, el del navegador y la IP). Las actualizaciones del sistema y del navegador también cuentan, porque cierran los fallos que aprovechan estos ataques.
Si te dedicas al periodismo o al activismo, Citizen Lab recomienda buscar ayuda experta, y la línea de Access Now atiende gratis, las 24 horas y en español. El 017 de INCIBE atiende gratis consultas de ciberseguridad de 8:00 a 23:00.
El anuncio de ofertas del sudoku seguirá en su esquina, y casi seguro que no esconde un ataque para ti. Con el identificador borrado y un bloqueador en el navegador, le pondrás bastante más difícil saber que eres el mismo de ayer.
Fuentes
- Citizen Lab (Universidad de Toronto): Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware, informe 195, y su resumen ejecutivo (15 de octubre de 2026).
- Confiant: ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity Vacuuming (15 de octubre de 2026).
- IAB Europe: Recent Reports Concerning a TCF Vendor, Discover-Tech (15 de octubre de 2026) y lista de proveedores del TCF (archivo JSON, consultada el 16 de octubre de 2026).
- Google: lista de proveedores publicitarios (archivo CSV) y cómo usa Google las cookies en la publicidad, con los pasos del ID de publicidad en Android (consultadas el 16 de octubre de 2026).
- Apple: Si una app pide rastrear tu actividad (26 de diciembre de 2025).
- RIPE NCC: ficha de la red AS200521 (SEAP-AGE) en RIPEstat (consultada el 16 de octubre de 2026).
- TechCrunch: Governments are hacking people with ‘zero-click’ spyware by showing them online ads, de Zack Whittaker (15 de octubre de 2026).
- The Hacker News: Citizen Lab Traces Zero-Click Candiru Spyware Infections at Al Jazeera to Targeted Online Ads (15 de octubre de 2026).
- Citizen Lab: CatalanGate: Extensive Mercenary Spyware Operation against Catalans Using Pegasus and Candiru, informe 155 (18 de abril de 2022).
- Consumer Reports: Security Planner, reduce online tracking (consultada el 16 de octubre de 2026). Fichas de uBlock Origin en Firefox y de uBlock Origin Lite en el App Store.
- Access Now: Digital Security Helpline (consultada el 16 de octubre de 2026).
- Imagen de portada: foto de una mano con un móvil, de Samson Vowles (Unsplash, vía Wikimedia Commons), con licencia CC0; recortada y con texto de Ping Cero.
