Una red de espionaje convirtió los anuncios de Internet en herramientas capaces de identificar personas e infectar sus dispositivos sin que tuvieran que hacer clic. Investigadores de Citizen Lab confirmaron ataques contra computadoras de la cadena Al Jazeera mediante programas espía distribuidos a través de publicidad digital. Ahora, una investigación adicional descubrió que la misma empresa israelí involucrada en esas operaciones, Discover-Tech, concentró una actividad publicitaria extraordinaria dirigida a usuarios de Starlink en más de cien países, incluida Venezuela. El caso demuestra cómo la publicidad comercial puede utilizarse para localizar objetivos y facilitar operaciones de vigilancia.
Elnur | Dreamstime.com
Una red de espionaje escondida detrás de anuncios
El 15 de octubre de 2026, Citizen Lab, un laboratorio de investigación de la Universidad de Toronto, publicó los resultados de una investigación que documentó por primera vez ataques con programas espía comerciales distribuidos mediante anuncios digitales sin necesidad de interacción del usuario.
Los investigadores identificaron a Discover-Tech, una empresa israelí que se presentaba como proveedor de tecnología publicitaria, pero que también facilitaba servicios a compañías especializadas en vigilancia informática.
Uno de sus principales clientes era Candiru, fabricante israelí de programas espía incluido en una lista de restricciones comerciales de Estados Unidos desde 2021. Su software permite comprometer dispositivos y acceder a información sensible de las víctimas.
La investigación confirmó ataques contra equipos de Al Jazeera durante 2024 y 2025. Al menos 45 dispositivos de la organización periodística fueron seleccionados como objetivos, y los investigadores documentaron infecciones mediante el programa espía de Candiru.
Lo extraordinario es que las víctimas no necesitaban descargar archivos sospechosos ni abrir enlaces maliciosos. Bastaba con que determinados anuncios aparecieran en las páginas o aplicaciones que utilizaban.
Cómo infectaban computadoras sin necesidad de hacer clic
La técnica recibió el nombre de AdFection. Aprovecha el funcionamiento de la publicidad programática, un sistema que permite comprar espacios publicitarios automáticamente mientras una persona navega por Internet.
Cuando alguien abre una página con anuncios, diferentes empresas participan en una subasta que dura milisegundos. Para seleccionar a quién mostrar publicidad, pueden recibir información sobre la conexión, el dispositivo y determinados identificadores digitales.
Discover-Tech utilizaba una plataforma llamada Controlium que permitía seleccionar objetivos, reconocer dispositivos y decidir qué contenido entregarles. Sus anuncios incorporaban instrucciones que establecían comunicación con servidores controlados por la empresa.
En la mayoría de los casos, esos servidores no enviaban código adicional. Pero cuando reconocían un dispositivo seleccionado, podían devolver instrucciones capaces de iniciar una cadena de infección mediante vulnerabilidades informáticas.
Citizen Lab reconstruyó este mecanismo analizando registros de red de Al Jazeera. Los equipos comprometidos primero establecían contacto con infraestructura de Discover-Tech y posteriormente con servidores relacionados con Candiru.
La investigación demuestra que la publicidad podía funcionar como mecanismo de distribución de ataques. No significa que cualquier anuncio infectara automáticamente todos los dispositivos donde aparecía.
Millones de dispositivos quedaron expuestos al sistema
La dimensión de la operación también quedó documentada. Citizen Lab analizó aproximadamente 4.000 millones de registros de subastas publicitarias asociados con Discover-Tech.
Durante cuatro meses de 2026, los anuncios de la compañía aparecieron en casi 200.000 sitios web y aplicaciones para Android e iOS. Además, millones de dispositivos fueron dirigidos hacia servidores relacionados con Candiru, posiblemente para recopilar información y reconocer objetivos.
Los investigadores encontraron actividad publicitaria en redes vinculadas con ministerios de Defensa, fuerzas armadas, organismos gubernamentales, agencias de ciberseguridad e infraestructura crítica.
También aparecieron registros asociados con redes de organizaciones internacionales, incluida la OTAN, y medios de comunicación de diferentes países.
Sin embargo, recibir uno de estos anuncios no equivale necesariamente a sufrir una infección. Los investigadores distinguieron entre recopilar información sobre un dispositivo, seleccionarlo como objetivo y conseguir instalar un programa espía.
La diferencia resulta fundamental para comprender la magnitud real de los ataques sin atribuir infecciones que todavía no han sido demostradas.
Starlink aparece en una investigación posterior
El 27 de octubre, Reuters publicó nuevos hallazgos que ampliaron considerablemente el alcance del caso. Investigadores de TrendAI, división de ciberseguridad de Trend Micro, identificaron una actividad publicitaria excepcional dirigida a usuarios de Starlink, el servicio de Internet satelital de SpaceX.
Según seis personas familiarizadas con la investigación, Discover-Tech figuraba entre los principales compradores de anuncios destinados a esas conexiones.
La compañía ocupaba el primer lugar en las subastas publicitarias relacionadas con usuarios de Starlink en más de cien países. Algunos de esos territorios tenían restricciones o prohibiciones sobre el servicio satelital.
Los investigadores consideraron que semejante concentración de publicidad difícilmente respondía a objetivos comerciales convencionales. Su hipótesis es que los datos obtenidos durante las subastas podían utilizarse para identificar conexiones, determinar ubicaciones o seguir usuarios.
TrendAI había presentado inicialmente los hallazgos utilizando el nombre Shadow-Earth-79, sin identificar públicamente a la empresa. Posteriormente, las fuentes consultadas por Reuters vincularon esa denominación con Discover-Tech.
No se ha demostrado públicamente que los dispositivos de Starlink identificados en esta investigación fueran infectados con el programa espía Candiru.
Venezuela figura entre los países con actividad sospechosa
Uno de los elementos más relevantes para Latinoamérica es la presencia de Venezuela entre los territorios donde los investigadores detectaron patrones publicitarios anormales.
También identificaron una actividad destacada en países como Siria, Libia, Yemen, Sudán del Sur y Afganistán. En varios de estos mercados, las restricciones tecnológicas, los conflictos o las condiciones económicas hacen especialmente llamativo semejante volumen de publicidad.
Starlink resulta atractivo en estos escenarios porque permite conectarse a Internet mediante satélites, sin depender completamente de las redes terrestres convencionales.
Esa independencia puede beneficiar a periodistas, organizaciones humanitarias y usuarios que necesitan alternativas de conectividad. Pero también convierte a determinadas conexiones en objetivos potencialmente interesantes para operaciones de vigilancia.
La investigación no identifica víctimas concretas en Venezuela ni demuestra que existiera una campaña exclusivamente dirigida contra ciudadanos venezolanos.
Lo documentado es que el país formaba parte de una operación publicitaria internacional cuyos patrones fueron considerados sospechosos por especialistas en ciberseguridad.
Google expulsó a la empresa de sus plataformas
Los hallazgos provocaron respuestas dentro de la industria publicitaria. Google colaboró con Citizen Lab y canceló el acceso de Discover-Tech a sus plataformas de intercambio de anuncios a principios de octubre.
La asociación europea IAB Europe también retiró a la empresa de sus registros. Otros proveedores, como Beeswax y Eskimi, bloquearon sus operaciones, mientras Liftoff suspendió su acceso durante una revisión.
Estas decisiones muestran que la investigación tuvo consecuencias concretas más allá de la publicación de informes técnicos.
Discover-Tech y Candiru no respondieron a las solicitudes de comentarios realizadas durante las investigaciones. Tampoco SpaceX ofreció una respuesta a las preguntas de Reuters sobre los hallazgos relacionados con Starlink.
El verdadero peligro está en la publicidad invisible
El caso revela una debilidad estructural de Internet. La publicidad digital no solamente muestra productos: también moviliza identificadores, direcciones de conexión y otros datos que pueden ayudar a reconocer personas.
Una compañía con acceso a ese ecosistema puede utilizarlo para seleccionar objetivos sin necesidad de controlar directamente las redes por donde viajan sus comunicaciones.
Por eso, disponer de Internet satelital no garantiza anonimato. Una conexión independiente de los operadores tradicionales continúa exponiendo al usuario a los mecanismos de seguimiento de páginas web y aplicaciones.
Citizen Lab recomienda reducir el rastreo publicitario y utilizar herramientas de bloqueo de anuncios, especialmente cuando existe un riesgo elevado de vigilancia dirigida. Estas medidas disminuyen la exposición, aunque no ofrecen protección absoluta.
La investigación dejó dos conclusiones diferentes, pero relacionadas: los ataques mediante publicidad digital ya fueron confirmados técnicamente y una empresa vinculada con ellos también desplegó una actividad sospechosa de enorme alcance contra usuarios de Starlink.
La publicidad que parece inofensiva puede revelar mucho más que nuestras preferencias de consumo. En determinadas circunstancias, también puede convertirse en la puerta de entrada para espiarnos.
