Discover-Tech, una agencia de publicidad digital israelí, ha estado diseminando un software de espionaje, Candiru, a través de una extensa red de anuncios online. Cientos de miles de redes, algunas pertenecientes a ministerios, instancias oficiales e instituciones como la OTAN, se han visto expuestas a una brecha de seguridad que afecta potencialmente a centenares de millones de usuarios .
Esta agencia publicitaria ha estado prestando servicios en plataformas publicitarias operadas por Google, Comcast, Yandex y otras de todo el planeta, según el informe independiente firmado por del grupo canadiense de vigilancia de ciberseguridad Citizen Lab y la empresa especializada en ciberseguridad Confiant de Nueva York.
Precisamente, un informe de Citizen Lab en 2020 destapó el 'catalangate', el espionaje a políticos y miembros de la sociedad civil en la órbita del independentismo catalán. Aunque Pegasus es la herramienta israelí de espionaje electrónico más famosa, el software Candiru también fue usado en aquella ocasión.
"La forma en que funciona la publicidad en línea hoy en día es una amenaza sistemática para la seguridad", sostiene Wolfie Cristl, investigador principal de Citizen Lab, en declaraciones a Reuters. "Lo es para los Estados, para el sector privado, para la sociedad civil y para todos por igual".
Estos anuncios online distribuidos por Discover-Tech, promocionando productos anodinos como smartphones o auriculares, alcanzaron a más de 120.000 sitios web y 75.000 aplicaciones gracias a los distintos acuerdos para colocar publicidad dirigida al usuario según sus preferencias en las webs que visita.
No ha sido necesario que el usuario hiciera clic en el anuncio para infectarse, bastaba con que se cargase la publicidad en la web que visitaba o la app que utilizaba. Discover-Tech habría intentado incluso extraer los números de teléfono de algunos usuarios de teléfonos inteligentes, explicaron los investigadores.
El precedente en Cataluña
La investigación de Citizen Lab en 2022 pudo observar cómo se diseminaba Candiru en una red universitaria de Cataluña. El spyware se había ocultado en una serie de mensajes enviados presuntamente por el ministerio de Sanidad con instrucciones sanitarias sobre la pandemia de Covid-19.
En esta ocasión, el colectivo ha podido determinar que los anuncios de Discover-Tech lograron piratear 45 dispositivos Windows de la cadena de televisión qatarí Al Jazeera entre 2024 y 2025. Tras ponerse en contacto con el medio, compartieron sus registros de navegación para poder identificar la fuente de la infección.
El colectivo afirma que los anuncios maliciosos se mostraron a usuarios en las redes de Naciones Unidas, la OTAN, la Comisión Europea y más de una docena de instituciones nacionales. El Ministerio para la Transformación Digital y de la Función Pública de España se encontraría entre las webs que incluyeron publicidad de la agencia israelí.
Confiant matiza, no obstante, que los anuncios vinculados a una infección de Candiru representaban una fracción mínima del volumen total del inventario de Discover-Tech. Pese a todo, advierten, "es muy probable que centenares de millones de personas hayan estado expuestas".
Jerome Dangu, cofundador de la firma de ciberseguridad, explica a Reuters que la empresa israelí ha estado colocando al menos 10 millones de anuncios al día en todo el mundo y que los acuerdos para compartir datos —denominados cookie matching— le permiten rastrear a las personas incluso cuando navegan más allá del alcance de sus anuncios.
Al investigar las direcciones de los servidores utilizados, Confiant descubrió operaciones publicitarias vinculadas a Candiru en nueve países, entre ellos España y México. Concretamente, detectó "una actividad especialmente intensa en la península Ibérica y el Estrecho de Gibraltar".
Las tecnológicas toman medidas
Google ha confirmado en un comunicado en paralelo que ha colaborado con la investigación de Citizen Lab y Confiant para expulsar a Discover-Tech de sus plataformas publicitarias "por violar sistemáticamente nuestras políticas".
IAB Europe, la asociación europea de marketing y publicidad digital, indicó en un correo electrónico a Reuters que Discover-Tech fue suspendida la semana pasada de su lista de proveedores aprobados a nivel global tras una auditoría que identificó violaciones de sus políticas.
Beeswax, la filial de tecnología publicitaria de Comcast, retiró a Discover-Tech de su plataforma "tras las recientes actividades". Únicamente la rusa Yandex, inmersa en el conflicto entre Rusia y Ucrania, no ha confirmado que haya suspendido su relación con la agencia israelí.
A principios de este año, el Pentágono afirmó haber recibido informes de que las fuerzas estadounidenses desplegadas en zonas de conflicto habían sido rastreadas mediante datos de localización recopilados por empresas de tecnología publicitaria y 'brókers' de datos. Desde entonces las fuerzas armadas desactivan el rastreo publicitario en algunos dispositivos.