El laboratorio Citizen Lab de la Universidad de Toronto publicó el 15 de octubre de 2026 evidencia técnica de que el spyware puede infectar teléfonos y computadoras sin que la persona haga un solo clic, distribuido a través de anuncios digitales. El reporte documenta 45 equipos de la cadena Al Jazeera comprometidos entre 2024 y 2025 por código malicioso entregado en impresiones publicitarias.

Los investigadores bautizaron el hallazgo como AdFection. Según TechCrunch, la firma israelí Discover-Tech operaba una plataforma publicitaria, Controlium, que funcionaba como puente entre compradores de anuncios y el ecosistema de spyware mercenario. De acuerdo con Wired, los anuncios vinculados a esa firma con etiquetas de script aparecieron en más de 70,000 aplicaciones móviles y más de 120,000 sitios web entre marzo y junio de este año.

El hallazgo importa para México por antecedente directo. El país acumula un historial documentado de casos de spyware comercial contra periodistas, defensores de derechos humanos y funcionarios, investigados en años recientes por Citizen Lab y por organizaciones de prensa. Los tres perfiles que suelen ser objetivo de estas herramientas son también los que más dependen del teléfono como herramienta de trabajo.

Los detalles del reporte:

  • Citizen Lab atribuye la distribución del spyware a los desarrolladores Candiru y Bindecy, ambos proveedores de productos zero-click. - Los registros de subasta publicitaria mostraban anuncios en redes de la OTAN, la ONU, el Organismo Internacional de Energía Atómica y la Corte Penal Internacional. - Google bloqueó a Discover-Tech de sus plataformas publicitarias tras una investigación conjunta con Citizen Lab y la firma de seguridad Confiant, y activó advertencias de Navegación Segura para los sitios vinculados al grupo. - La rama europea de la Interactive Advertising Bureau suspendió a la firma de su lista global de proveedores tras una auditoría. - El investigador Bill Marczak dijo que una persona infectada no notaría nada y recomendó desactivar el rastreo publicitario o bloquear anuncios.

El reporte deja abiertos los nombres de los gobiernos que habrían contratado los ataques, dato que Citizen Lab no pudo determinar. La conversación a seguir es regulatoria: si las redes publicitarias endurecen la verificación de sus clientes, ese es el punto donde el vector se cierra o se repite.

Esta nota fue redactada con asistencia de inteligencia artificial a partir de fuentes verificadas y revisada por un editor humano antes de publicarse.