El malware anuncio zero-click ya no necesita que toques nada: se sirve solo, se instala solo y no deja rastro.
Lo documentan el Citizen Lab y la firma de seguridad Confiant, y el hallazgo quita las ganas de navegar: una empresa israelí de publicidad, Discover-Tech, habría usado su red para servir anuncios aparentemente legítimos —móviles, auriculares, productos corrientes— que escondían spyware. Sin clic. Sin descarga. Sin aviso.
Es la primera evidencia conocida de un ataque zero-click entregado mediante publicidad segmentada. Traducción: el anuncio no te pide permiso para nada. Se carga y con él viaja el intento de infección. La gracia, para el atacante, es esa: nadie tiene que cometer el error de pinchar.
Qué pasa exactamente cuando el anuncio se carga
El alcance asusta más que el método. Según los datos publicados por Confiant, esos anuncios llegaron a más de 120.000 sitios web y 75.000 aplicaciones, con una media de 10 millones de impresiones al día. Hablamos de una red capaz de rastrear usuarios y extraer datos concretos, además de servir software malicioso vinculado a Candiru, la compañía israelí de software espía que está en la lista negra de Estados Unidos desde 2021.
La parte incómoda es el seguimiento. Los investigadores describen un cruce de cookies que permitía reconstruir el rastro de una víctima y decidir si merecía la pena apretar el botón. Ya no es publicidad molesta, es selección de objetivos. Y los anuncios no dejan rastro en el equipo, así que saber si te han infectado es, hoy por hoy, una lotería.
La ONU, la OTAN y las redacciones de Al Jazeera
Esto no iba de cazar incautos. Confiant sitúa los anuncios en entornos sensibles como el Pentágono, la Corte Penal Internacional o el Organismo Internacional de Energía Atómica. El Citizen Lab encontró evidencias en la ONU, la OTAN, la Comisión Europea y en fabricantes de chips como NVIDIA y Micron.
El anuncio que te vende auriculares y el que intenta espiarte pueden ser el mismo. A simple vista, no hay forma de distinguirlos.
El caso mejor documentado es el de Al Jazeera: una variante potente del software, entregada por esta vía, comprometió 45 ordenadores de la cadena entre 2024 y 2025. Ahí es nada.
Wolfie Cristl, investigador principal del Citizen Lab, lo resumió en declaraciones a Reuters: la publicidad online tal y como funciona hoy es una amenaza sistémica para la seguridad. No solo para el usuario despistado; también para estados y sociedad civil. Confiant añade que cientos de millones de personas quedaron expuestas sin saberlo.
Ya lo vimos con Pegasus, solo que ahora nadie tiene que pinchar nada
El precedente más cercano tiene nombre propio: NSO Group y su Pegasus, que durante años entró en móviles de periodistas y activistas. La diferencia es de grado: en la mayoría de casos de Pegasus hacía falta que la víctima abriera un enlace. Aquí basta con que la página cargue el anuncio. La barrera técnica se ha caído.
¿Y qué puedes hacer tú? Poco, pero algo. Bloqueador de anuncios, seguimiento desactivado en el navegador, y restablecer de vez en cuando el identificador de publicidad del móvil. Mantener el sistema actualizado y desconfiar de cualquier cosa que prometa anonimato total. Y asumir una verdad incómoda: el ecosistema publicitario ya funciona como infraestructura de espionaje.
Los reguladores llevan años intentando acotar el alcance de la publicidad segmentada y cada hallazgo confirma que van por detrás. Queda la pregunta incómoda: cuántas redes estarán haciendo lo mismo ahora mismo sin que nadie las haya pillado. Poco consuelo.
Hype-O-Meter
Nivel de hype: 9/10. No es el hype del gadget que quieres comprar, es el del informe que no quieres leer. Diez millones de anuncios al día, 120.000 webs y 45 ordenadores de Al Jazeera. Si esto fuera un lanzamiento de producto, ya estaríamos todos en la lista de espera. Y ese es exactamente el problema.
El resumen para vagos (TL;DR)
- 🎯 ¿Qué ha pasado? Una red publicitaria israelí sirvió spyware en anuncios vistos en 120.000 webs y 75.000 apps.
- 🔥 ¿Por qué importa? Es el primer ataque zero-click por publicidad: sin clic, sin aviso y sin rastro.
- 🤔 ¿Nos afecta o es solo un meme? Afecta: bloqueador, seguimiento off y algo de suerte.
