Una empresa israelí de tecnología publicitaria, Discover-Tech, utilizó anuncios en línea comunes para rastrear personas e instalar spyware en sus dispositivos, según un reportaje de Reuters publicado el 15 de octubre de 2026. La compañía colocó sus anuncios en una vasta red de sitios web y aplicaciones mediante plataformas publicitarias operadas por Google, Comcast y Yandex.

Investigaciones independientes de Citizen Lab y Confiant detallaron cómo operaba la actividad: con solo cargar un anuncio, los usuarios podían quedar expuestos a vigilancia o spyware, incluso sin hacer clic.

Por qué bastaba cargar un anuncio para comprometer un dispositivo

Las ofertas en tiempo real, el sistema que subasta espacios publicitarios en milisegundos, comparte datos del dispositivo y de ubicación con posibles compradores, y algunos anuncios también ejecutan código. Esa combinación de datos compartidos y código ejecutable en anuncios es lo que los investigadores identificaron como la puerta de entrada de la técnica. Citizen Lab ha denominado "AdFection" a la técnica de spyware de cero clic y vincula a Discover-Tech con Candiru, un fabricante israelí de spyware incluido en la lista negra de Estados Unidos en 2021.

El 12 de abril de 2026, Confiant identificó un banner de MyIPInfo que redirigía a una infraestructura vinculada a Candiru a través de Amazon CloudFront. El anuncio cargaba una falsa herramienta de verificación que contenía aproximadamente 90KB de JavaScript oculto, lo que le permitía recopilar información sobre el dispositivo y comunicarse por un canal cifrado. Confiant investigó la actividad entre abril y septiembre de 2026.

45 máquinas infectadas en Al Jazeera y millones más expuestas

Citizen Lab examinó cuatro mil millones de registros de ofertas y descubrió que Discover-Tech había reservado sus anuncios en al menos 120,000 sitios web y 75,000 aplicaciones. Confiant estima que se entregaron al menos 10 millones de anuncios a través de Discover-Tech cada día. El cofundador de Confiant, Jerome Dangu, dijo que "muy probablemente cientos de millones de personas habrían sido alcanzadas por Discover-Tech".

Citizen Lab confirmó que el spyware de Candiru comprometió 45 máquinas Windows en Al Jazeera durante 2024-2025. La cadena de televisión declaró que "condena los ataques de spyware contra varios de sus empleados".

Los anuncios de Discover-Tech también aparecieron en redes asociadas con agencias gubernamentales e internacionales, entre ellas el Pentágono, las Naciones Un, la OTAN, la Comisión Europea, el Organismo Internacional de Energía Atómica y la Corte Penal Internacional. Los investigadores también detectaron los anuncios en redes vinculadas a los fabricantes de chips Nvidia, Broadcom y Micron.

Sin embargo, la exposición no significa necesariamente infección. A diferencia de los compromisos reportados en Al Jazeera, estas apariciones no demuestran que el spyware haya infectado con éxito dispositivos en esas instituciones.

Google, IAB Europe y Beeswax cortan el acceso

Google eliminó a Discover-Tech de su plataforma publicitaria "por violar sistemáticamente nuestras políticas". IAB Europe retiró a la empresa de su lista de proveedores aprobados, y Beeswax, de Comcast, bloqueó su acceso a la plataforma.

Los hallazgos han generado preocupaciones más amplias sobre la seguridad de la publicidad en línea. El investigador de Citizen Lab, Wolfie Christl, advirtió que "la forma en que funciona hoy la publicidad en línea es una amenaza sistémica para la seguridad".

Un mercado de 1.34 billones de dólares construido sobre la misma infraestructura

El mercado publicitario sigue creciendo, lo que eleva los riesgos para la seguridad. Las ofertas en tiempo real están en el corazón de ese ecosistema: las mismas subastas que asignan miles de millones en gasto también deciden qué anuncios —y el código que contienen— llegan a los dispositivos de los usuarios. WARC espera que el gasto publicitario global alcance los 1.34 billones de dólares en 2026, mientras que la publicidad programática en Estados Unidos generó 162,400 millones de dólares en 2025, según cifras de IAB. Las medidas de seguridad no han podido mantenerse al ritmo de la creciente aplicación de la inteligencia artificial en la industria publicitaria.

Una investigación de IAB muestra que solo alrededor del 40% de los compradores de publicidad encuestados ya han tomado, o planean tomar, medidas frente a los riesgos legales, de seguridad y de datos relacionados con la medición impulsada por IA.

Noruega multó recientemente a Xandr, propiedad de Microsoft, con 92 millones de coronas noruegas (NOK) por compartir ilegalmente datos sensibles de Grindr a través de subastas publicitarias, una violación de privacidad y no un caso de spyware. La reguladora Line Coll dijo que la responsabilidad "no puede pasarse a otros".

El caso de Discover-Tech llega en un momento en que las empresas publicitarias invierten cada vez más en datos de consumidores y segmentación impulsada por IA. Como reportó anteriormente Cryptopolitan, Publicis Groupe firmó un acuerdo para comprar LiveRamp por 2,200 millones de dólares, fortaleciendo sus actividades de marketing basadas en IA. Si bien ese acuerdo no tiene relación con los ataques de spyware, subraya cuán centrales se han vuelto los datos y la automatización para la industria.

Citizen Lab ha pedido investigaciones sobre Discover-Tech y Candiru, ejerciendo presión sobre las plataformas publicitarias para que mejoren la forma de examinar a los proveedores y detectar anuncios maliciosos. Queda por ver si estos llamados producen investigaciones formales —y un examen más estricto de proveedores en toda la cadena de suministro de adtech—.