La tecnología publicitaria se ha convertido en un canal de spyware
Los sistemas de publicidad en línea pueden utilizarse para perfilar usuarios y atacar dispositivos con spyware, según investigadores de Citizen Lab, la unidad de investigaciones digitales de la Universidad de Toronto. Su investigación se centra en Discover-Tech, una empresa israelí que se describe como agencia especializada en publicidad digital.
Citizen Lab afirma que Discover-Tech opera una plataforma llamada Controlium. Los investigadores alegan que permite perfilar y desanonimizar usuarios a gran escala y facilitar la entrega de spyware mercenario de terceros a objetivos seleccionados.
Una persona puede recibir un anuncio aparentemente normal, por ejemplo de un servicio móvil o un juego digital. El proceso publicitario puede revelar información identificadora, como una dirección de protocolo de internet; si la persona ya fue seleccionada para vigilancia, podría enviarse código malicioso al dispositivo.
Por qué importa el “clic cero”
Muchas advertencias de seguridad recomiendan no hacer clic en enlaces sospechosos ni descargar archivos desconocidos. Una infección de clic cero cambia la situación: la intrusión ocurre sin que el usuario actúe ni lo sepa. Citizen Lab afirma que el proceso puede durar solo unos segundos.
La publicidad digital se distribuye a enorme escala y suele involucrar intermediarios, intercambios de datos y sistemas automatizados de pujas. Según Citizen Lab, esa infraestructura puede identificar posibles objetivos entre millones de personas y después dirigir una carga maliciosa a unos pocos.
Los investigadores describen un modelo que convierte la publicidad en un arma a gran escala: la elaboración de perfiles de millones de usuarios puede coexistir con infecciones muy selectivas. La preocupación no es solo que un anuncio engañoso porte malware, sino que los sistemas de distribución también ayuden a localizar dispositivos concretos.
Entre los presuntos objetivos había dispositivos de Al Jazeera
Citizen Lab dijo que creía que decenas de dispositivos de la cadena catarí Al Jazeera habían sido comprometidos mediante spyware distribuido a través de anuncios de Discover-Tech. Esto no significa que todos los usuarios que vieron un anuncio fueran objetivos; la alegación es que la publicidad ofreció una oportunidad inicial para recopilar información y después atacar a personas seleccionadas.
Citizen Lab afirma que millones de usuarios en todo el mundo han recibido anuncios de Discover-Tech desde 2024, incluidos usuarios de Yemen, Brasil, México y Chequia. Un trabajo de Confiant también indicó que los anuncios aparecieron en redes asociadas con organismos gubernamentales de Europa y Estados Unidos, la ONU, la OTAN, la Corte Penal Internacional y el Organismo Internacional de Energía Atómica.
Esto no demuestra que todos esos usuarios fueran infectados, pero muestra la amplitud del entorno publicitario a través del cual podría producirse una actividad de seguimiento.
Un problema mayor que una sola campaña
El caso plantea un problema de seguridad para plataformas publicitarias, editores y organizaciones que dependen de dispositivos conectados. Los anuncios se integran en sitios y aplicaciones y suelen llegar mediante cadenas de suministro complejas.
El investigador de Citizen Lab Wolfie Christl dijo que resultaba alarmante que proveedores y organizaciones importantes aparentemente no hubieran detectado o detenido durante años las operaciones publicitarias maliciosas alegadas. Si el ataque es realmente de clic cero, pedir a los usuarios que eviten interacciones sospechosas ofrece una protección limitada.
Los hallazgos presionan al sector tecnológico para revisar mejor a los intermediarios publicitarios, los datos que recopilan y el código que pueden entregar los anuncios.
Lo que aún debe establecerse
Los hallazgos son alegaciones de investigadores y deben evaluarse junto con pruebas técnicas y las respuestas de las empresas implicadas. Aun así, advierten sobre la convergencia entre la elaboración de perfiles publicitarios y el spyware comercial: los sistemas creados para alcanzar audiencias también pueden identificar y atacar silenciosamente a individuos.
Este artículo se basa en información de The Guardian. Lea el artículo original.
Originally published on theguardian.com
