Discover-Tech, una empresa de Israel que se describe como plataforma de publicidad, funciona según Citizen Lab como puente entre los fabricantes de spyware mercenario y el ecosistema de anuncios en línea. Así lo concluye un informe que ese centro de la Universidad de Toronto dio a conocer el 15 de octubre de 2026. Sus autores presentan el caso, Exposing AdFection, como el primer ataque de cero clics con spyware mercenario cuya entrega por anuncios dirigidos queda confirmada técnicamente en público.
Lo que documenta el informe
Por spyware mercenario se entiende el programa de espionaje que una empresa desarrolla y vende a clientes que lo usan contra terceros; un ataque de cero clics es aquel que no exige que la persona objetivo abra o toque nada. Citizen Lab sostiene que el spyware de Candiru infectó equipos de Al Jazeera, a los que llegó por medio de anuncios comprados por Discover-Tech. TechCrunch cifra en 45, como mínimo, las computadoras Windows de Al Jazeera que resultaron comprometidas durante 2024 y 2025.
Citizen Lab sostiene que el spyware de Candiru infectó equipos de Al Jazeera, a los que llegó por medio de anuncios comprados por Discover-Tech.
Controlium, nombre de la plataforma de Discover-Tech, ofrece a quienes la contratan tres funciones que se ejecutan de forma automática cuando se muestran los anuncios: desanonimizar los dispositivos, tomar sus huellas digitales e infectarlos, de acuerdo con el laboratorio. Bill Marczak, investigador sénior de Citizen Lab, dijo a TechCrunch que se había hablado mucho de que los anuncios en línea pueden servir para identificar y vulnerar objetivos con precisión, y que por primera vez existe evidencia técnica concreta de ese proceso en funcionamiento.
Método y escala
Con el análisis de 4,000 millones de registros de pujas publicitarias, Citizen Lab observó anuncios de Discover-Tech en unos 200,000 sitios y aplicaciones únicos de decenas de países entre marzo y junio de 2026. Un registro de puja es el dato que se genera cuando un anunciante compite por mostrar un anuncio a un usuario concreto. El informe señala que los anuncios llegaron a redes de la Organización del Tratado del Atlántico Norte (OTAN), la Organización de las Naciones Unidas (ONU), el Parlamento Europeo, ministerios de defensa, bancos centrales e infraestructura crítica en más de 20 países; TechCrunch añade al Organismo Internacional de Energía Atómica y a la Corte Penal Internacional.
Actores vinculados y respuesta de la industria
Además de Candiru, el laboratorio vincula la plataforma con Bindecy, con Intelos y con un actor llamado DARK CARTOGRAPHER, que relaciona identificadores publicitarios con números telefónicos. Discover-Tech figuraba en listas de proveedores certificados de Google y de IAB Europe hasta octubre de 2026, cuando ambas la retiraron. Google, IAB Europe, Beeswax, Vungle (Liftoff) y Eskimi cortaron su acceso a la empresa tras la divulgación, según Citizen Lab.
| Dato | Valor |
|---|---|
| Registros de pujas publicitarias analizados | 4,000 millones |
| Sitios y aplicaciones únicos con anuncios de Discover-Tech | unos 200,000 |
| Periodo de observación | marzo a junio de 2026 |
| Países donde llegaron anuncios a redes sensibles | más de 20 |
| Computadoras de Al Jazeera comprometidas (TechCrunch) | al menos 45 |
Recomendaciones del laboratorio
El informe recomienda que se investigue desde el ámbito regulatorio a Discover-Tech y a Candiru, que se hagan reformas estructurales en el ecosistema publicitario, que los proveedores de anuncios verifiquen con más rigor a las plataformas que acceden a sus redes y que se adopten mitigaciones para los defensores. TechCrunch recoge, además, el consejo de Marczak de que quienes puedan ser objetivo por su trabajo desactiven el rastreo publicitario o bloqueen los anuncios.
