El Citizen Lab, laboratorio de la Universidad de Toronto, publicó el 15 de octubre de 2026 un informe sobre lo que llama AdFection: la primera confirmación técnica pública, según el propio laboratorio, de un ataque de spyware mercenario de cero clics entregado mediante publicidad dirigida. Cero clics significa que la víctima no necesita tocar nada, basta con que el anuncio se muestre. Este editorial toma el hallazgo como una denuncia documentada y se ocupa de una pregunta distinta: quién certifica a los vendedores de anuncios.
Lo que documenta el informe
Según Citizen Lab, Discover-Tech, una empresa israelí que se presenta como plataforma publicitaria, conecta a fabricantes de spyware mercenario con el ecosistema de publicidad en línea. Su plataforma, llamada Controlium, permitiría a los clientes desanonimizar, tomar huellas digitales e infectar dispositivos de forma automática cuando se muestran los anuncios. El laboratorio afirma que equipos de Al Jazeera fueron infectados con spyware de Candiru mediante anuncios comprados por Discover-Tech. TechCrunch reporta que al menos 45 computadoras con Windows de esa cadena fueron comprometidas en 2024 y 2025.
una certificación es una declaración pública de confianza, y que quien la emite debe poder explicar en qué se basó
La escala que describe el laboratorio sale de 4,000 millones de registros de pujas publicitarias, las subastas en las que se compran los espacios de anuncio. Con ellos vio anuncios de Discover-Tech en unos 200,000 sitios y aplicaciones únicos de decenas de países entre marzo y junio de 2026. Según Citizen Lab, los anuncios llegaron a redes de la Organización del Tratado del Atlántico Norte (OTAN), de la Organización de las Naciones Unidas (ONU) y del Parlamento Europeo, además de ministerios de defensa, bancos centrales e infraestructura crítica en más de 20 países. TechCrunch añade al Organismo Internacional de Energía Atómica y a la Corte Penal Internacional.
El informe vincula además a la plataforma con Bindecy, Intelos y un actor llamado DARK CARTOGRAPHER, que asocia identificadores publicitarios con números telefónicos. Son atribuciones del laboratorio, no una resolución de autoridad alguna.
Certificada hasta octubre
Discover-Tech figuraba en listas de proveedores certificados de Google y de IAB Europe hasta octubre de 2026, cuando ambas la retiraron. Google, IAB Europe, Beeswax, Vungle (Liftoff) y Eskimi cortaron su acceso tras la divulgación, según el informe y TechCrunch. Citizen Lab recomienda una investigación regulatoria a Discover-Tech y a Candiru, reformas estructurales en el ecosistema publicitario y una mayor verificación de las plataformas por parte de los proveedores de anuncios.
El orden de los hechos tiene peso. El informe es del 15 de octubre, y las cinco empresas citadas cortaron el acceso después de conocerse. Los anuncios, según el laboratorio, circularon entre marzo y junio. Es decir, cinco decisiones de empresas del ecosistema publicitario llegaron cuando un tercero hizo público el hallazgo.
Una lista que certifica
Una lista de proveedores certificados existe para que un editor de sitio web, un anunciante o un lector confíen en que quien aparece en ella pasó una revisión. Si una empresa a la que un laboratorio señala por entregar espionaje a través de anuncios estuvo en esa lista, la revisión no alcanzó a detectar lo que el laboratorio describe. Retirarla tras la divulgación demuestra que era posible retirarla, y deja sin responder por qué no ocurrió antes.
Este editorial no atribuye a Google conocimiento de la actividad de Discover-Tech. Sostiene que una certificación es una declaración pública de confianza, y que quien la emite debe poder explicar en qué se basó. Esa explicación es útil más allá de este caso: si el mecanismo falló una vez, puede volver a fallar con otro proveedor, y los lectores no tienen forma de saberlo desde fuera.
Qué pide este editorial
Hay una pregunta paralela para IAB Europe, que según el informe también certificaba a la empresa y la retiró en octubre; la petición concreta de este editorial se dirige a Google.
La petición es para Google: que publique desde cuándo figuraba Discover-Tech en su lista de proveedores certificados y qué revisión se le aplicó, que explique qué cambia en su proceso de certificación y que informe si notificará a los editores y anunciantes cuyos espacios sirvieron esos anuncios. Citizen Lab pidió una investigación regulatoria.