Un ataque de spyware sin clics usa anuncios contra 45 dispositivos de Al Jazeera

Citizen Lab atribuye a la firma israelí Candiru el primer caso conocido de ataque «zero-click» mediante publicidad dirigida. Basta con visitar una web o actualizar una aplicación para que el programa espía se instale.

En junio de 2025, 45 dispositivos utilizados por empleados de Al Jazeera, entre ellos varios periodistas que cubrían asuntos sensibles, fueron objetivo de un programa espía que se instalaba solo, sin abrir ni descargar ningún archivo. Según la investigación de Citizen Lab, unidad académica de investigación con sede en Canadá, detrás estaba la empresa israelí Candiru.

El equipo tecnológico de la cadena detectó patrones anómalos en los aparatos de algunos periodistas en 2024. Los registros de red que Al Jazeera entregó a Citizen Lab en 2025 permitieron reconstruir cómo se ejecutó el ataque. Los anuncios maliciosos los compró Discover-Tech, una compañía israelí que se presenta como una agencia publicitaria legítima pero que, según la investigación, actúa como intermediaria de socios dedicados al spyware mercenario. Su red de anuncios identificaba al personal de la cadena y lo redirigía a un servidor infectado de Candiru.

Estados Unidos incluyó a Candiru en su lista negra en 2021, después de que Citizen Lab concluyera que era responsable del pirateo y la vigilancia ilegales de al menos 100 activistas, periodistas y activistas políticos en diez países. Al Jazeera Media Network ha condenado el ataque contra su personal y ha pedido que se exijan responsabilidades.

Stephen O’Shaughnessy, profesor de ciberseguridad en el campus de Blanchardstown de TU Dublin, explica que al abrir una web o una aplicación se celebra una subasta automática del espacio publicitario, que comparte datos como el identificador del dispositivo, la dirección IP y la ubicación aproximada. Discover-Tech, dice, se hizo pasar por un anunciante corriente y usó esa información para localizar a su objetivo y ganar la subasta de su pantalla. «Cualquiera con un teléfono o un navegador que muestre anuncios puede ser alcanzado», señala.

El analista Eddy Willems matiza que ejecutar código en el navegador no da control total del equipo. Para salir del entorno aislado o «sandbox», el atacante puede necesitar una segunda vulnerabilidad. Una vez infectado el dispositivo, el programa puede recopilar archivos, documentos, cookies, marcadores y credenciales guardadas. También puede registrar pulsaciones de teclado, hacer capturas de pantalla, grabar micrófono y cámara y extraer correos y mensajes. Para no activar alertas, envía los datos robados fragmentados y cifrados.

Discover-Tech figuraba en listas de proveedores «certificados» y «aprobados» de Google y de la asociación sectorial IAB Europe, y colocó anuncios en redes como Google, Yandex y Beeswax. Citizen Lab sostiene que esto refleja fallos estructurales del sistema de publicidad en línea, que no detectó ni evitó el abuso. Remesh Srinivasan, profesor de la Universidad de California en Los Ángeles, advierte: «Es el siguiente nivel, porque se está microsegmentando a las personas».