✨︎ Resumen (TL;DR):
- Citizen Lab documentó infecciones con spyware de Candiru mediante anuncios que no exigían hacer clic y vinculó a Discover-Tech con ataques contra Al Jazeera.
- La investigación identificó al menos 45 dispositivos atacados en 2024 y 2025; Confiant estimó que Discover-Tech distribuía unos 10 millones de impresiones publicitarias diarias.
- Confiant detectó actividad relacionada con Candiru en nueve países, incluidos México y España, pero esas conexiones no bastan para confirmar infecciones ahí.
Citizen Lab, laboratorio de la Universidad de Toronto, documentó infecciones con spyware de Candiru mediante anuncios que no exigían clics. Su informe, publicado el 15 de octubre de 2026, vincula a la empresa publicitaria israelí Discover-Tech con ataques contra Al Jazeera y denomina AdFection a esta técnica.
La investigación identificó al menos 45 dispositivos atacados durante 2024 y 2025. Para acreditar las infecciones, Citizen Lab analizó registros de red aportados por Al Jazeera y una muestra de malware para Windows recuperada de un equipo comprometido.
AdFection convierte el anuncio en una vía de entrega
AdFection es una técnica que utiliza anuncios para llevar spyware a dispositivos sin exigir un clic.
Los anuncios mantenían una apariencia corriente y la actividad ocurría sin avisos visibles. En el caso de Al Jazeera, las comunicaciones con servidores de control y el malware recuperado respaldan la infección. Los registros publicitarios describen una etapa anterior del ataque.
El rastreo permitió elegir a quién atacar
Confiant, que publicó un informe paralelo, observó que la infraestructura recopilaba identificadores publicitarios, direcciones IP y características del dispositivo. Esos datos permitían distinguir a los usuarios y enviar código a los equipos seleccionados.
Confiant estimó que Discover-Tech distribuía unos 10 millones de impresiones publicitarias diarias. Dentro de su muestra, las conexiones con infraestructura atribuida a Candiru tenían un volumen mucho menor: cientos o pocos miles de impresiones al día.
Según Confiant, esa diferencia apunta a una selección muy precisa de objetivos. La gran cantidad de anuncios distribuidos por Discover-Tech contrastaba con el volumen reducido de conexiones relacionadas con Candiru.
México y España aparecen en los registros
En una investigación que abarcó del 1 de abril al 10 de septiembre de 2026, Confiant detectó actividad vinculada a Candiru en nueve países, entre ellos México y España.
El hallazgo no demuestra por sí solo una infección en esos países. Las conexiones registradas muestran actividad vinculada a esa infraestructura, pero no equivalen a un dispositivo comprometido.
En Al Jazeera, en cambio, las comunicaciones con servidores de control y la muestra de malware para Windows recuperada de un equipo comprometido respaldan la infección. Los registros publicitarios corresponden a una fase previa del ataque.
Plataformas retiraron el acceso a Discover-Tech
Discover-Tech no respondió a los mensajes de Reuters. La agencia tampoco logró contactar a los propietarios de Candiru.
Según las respuestas recogidas por Reuters, Google retiró a Discover-Tech de sus plataformas publicitarias, IAB Europe la suspendió de su registro de proveedores y Beeswax eliminó su acceso.
Medidas para reducir la exposición
Citizen Lab recomienda usar bloqueadores de anuncios y reducir el rastreo publicitario. Para quienes afrontan un riesgo elevado, aconseja buscar ayuda especializada.
La diferencia entre la infección respaldada en Al Jazeera y los registros de México y España delimita el alcance del hallazgo: la actividad publicitaria puede señalar una selección de objetivos, pero no basta por sí sola para confirmar una infección.
