La agencia israelí de publicidad digital Discover-Tech espió a los usuarios de internet a través de una extensa red de anuncios en línea que utilizó para rastrear a sus objetivos y ayudar a piratear sus dispositivos, según informaron el jueves dos grupos de investigación.
Según informes separados del grupo canadiense de vigilancia cibernética Citizen Lab y la empresa neoyorquina de seguridad publicitaria Confiant, sus servicios dieron a la empresa israelí Candiru —una compañía de software espía incluida en la lista negra del gobierno estadounidense—, así como a otras empresas de vigilancia israelíes, acceso a plataformas publicitarias gestionadas por Google, Comcast, la rusa Yandex y otras.
Los informes muestran cómo el negocio de la publicidad en línea, que desde hace tiempo es objeto de preocupación por la privacidad, también puede servir como canal para campañas de espionaje a gran escala.
«El funcionamiento actual de la publicidad en línea representa una amenaza sistémica para la seguridad», declaró a Reuters Wolfie Christl, investigador sénior de Citizen Lab. «Para los Estados, el sector privado, la sociedad civil y todos los demás por igual».
Según Citizen Lab, los anuncios en línea de Discover-Tech, a menudo de productos comunes como teléfonos o auriculares, llegaron a más de 120.000 sitios web y 75.000 aplicaciones a través de sus diversas colaboraciones.
Según los investigadores, Discover-Tech podía identificar y rastrear a los usuarios que visitaban sitios web o utilizaban aplicaciones con anuncios maliciosos, e incluso intentaba extraer los números de teléfono de algunos usuarios de smartphones. Para que se produjera el espionaje, bastaba con que los anuncios se cargaran en un sitio web.
Según ambos grupos de investigación, algunos anuncios se utilizarían para ayudar a instalar software espía de Candiru en los dispositivos de los usuarios, aunque Confiant afirmó que los anuncios que vinculó con Candiru representaban una pequeña fracción del volumen total de Discover-Tech.
ANUNCIOS MALICIOSO MOSTRADOS EN CIENTOS DE REDES SENSIBLES
Jerome Dangu, cofundador de Confiant, afirmó que Discover-Tech publicaba al menos 10 millones de anuncios al día en todo el mundo y que los acuerdos para compartir datos, denominados «coincidencia de cookies», le permitían rastrear a las personas incluso más allá del alcance de sus anuncios.
«Es muy probable que cientos de millones de personas se hayan visto beneficiadas por Discover-Tech», dijo Dangu.
Discover-Tech, fundada en 2020, no respondió a los mensajes dejados a través de su formulario de contacto. Tampoco obtuvo respuesta a un mensaje de LinkedIn ni a los correos electrónicos enviados a su director ejecutivo, Dekel Boni.
Los intentos de Reuters por contactar con los propietarios de Candiru tampoco tuvieron éxito. El Departamento de Comercio de Estados Unidos incluyó a Candiru en su lista negra en 2021 por supuestamente suministrar software espía utilizado para atacar maliciosamente a funcionarios gubernamentales, periodistas, activistas y académicos.
Citizen Lab afirmó que una potente versión del software espía Candiru, distribuida a través de los anuncios de Discover-Tech, se utilizó para comprometer 45 dispositivos Windows de la emisora catarí Al Jazeera entre 2024 y 2025, algo que, según la empresa, pudo confirmar porque el grupo de medios había compartido sus registros de red con ellos.
En un comunicado, Al Jazeera afirmó que «condena los ataques de software espía dirigidos a varios de sus empleados» y que está tomando medidas para proteger a sus trabajadores y sus sistemas. «Los responsables deben rendir cuentas», añadió.
Dangu, de Confiant, afirmó que los anuncios maliciosos se habían mostrado a usuarios en «cientos de redes de categorías sensibles», incluyendo el Pentágono, el Organismo Internacional de Energía Atómica y la Corte Penal Internacional. Añadió que algunas regiones, como los territorios palestinos, estaban particularmente saturadas por los anuncios de la empresa israelí.
«Si visitas prácticamente cualquier sitio web en Palestina —cualquier sitio— encontrarás un anuncio de Discover-Tech. Esto les proporciona una visibilidad muy completa de las actividades digitales de todo un país», afirmó.
Citizen Lab también afirmó tener pruebas similares que demostraban que los anuncios maliciosos se mostraron a personas en las Naciones Unidas, la OTAN, la Comisión Europea y más de una docena de gobiernos nacionales. Otras redes en las que aparecieron los anuncios incluían empresas relacionadas con chips como Nvidia, Sandisk, Broadcom y Micron, así como varios medios de comunicación en México, Israel y Europa que no fueron identificados.
Además de identificar a Candiru y a otros proveedores de servicios de vigilancia, Citizen Lab afirmó haber podido obtener algunos detalles sobre la posible ubicación de los usuarios de Discover-Tech, ya que la empresa expuso inadvertidamente sus registros de autenticación a internet, mostrando a personas que iniciaban sesión desde direcciones IP en Israel, Europa y el Golfo Pérsico.
MEDIDAS ADOPTADAS CONTRA DISCOVER-TECH
Discover-Tech está siendo excluida de ciertos segmentos del mercado de la publicidad en línea.
Google declaró en un comunicado que había colaborado con la investigación de Citizen Lab y Confiant y que había expulsado a Discover-Tech de sus plataformas publicitarias «por violar sistemáticamente nuestras políticas».
IAB Europe, la asociación europea del ecosistema de marketing y publicidad digital, comunicó por correo electrónico que Discover-Tech había sido suspendida de su lista de proveedores aprobados a nivel mundial la semana pasada, después de que una auditoría detectara infracciones de sus políticas.
Según un comunicado de Comcast, Beeswax, filial de tecnología publicitaria de la compañía, eliminó Discover-Tech de su plataforma «tras una actividad reciente». Yandex no respondió a las solicitudes de comentarios de Reuters.
La vigilancia mediante publicidad se percibe cada vez más como una amenaza para la seguridad nacional. A principios de este año, el Pentágono informó haber recibido denuncias de que las fuerzas estadounidenses desplegadas en zonas de guerra habían sido blanco de ataques utilizando datos de ubicación recopilados por empresas de tecnología publicitaria y agentes de datos. Desde entonces, algunas ramas de las fuerzas armadas han desactivado el seguimiento publicitario en ciertos dispositivos.