El cibervirus israelí que burló la seguridad española y atacó al Ministerio de Transformación Digital se describe en una investigación que detecta una técnica llamada «AdFection» capaz de infectar dispositivos solo con la visualización de un anuncio, según reportes publicados este 16 de octubre.
El principal hallazgo procede del informe de The Citizen Lab: investigadores técnicos confirman que la empresa israelí Discover‑Tech operó una plataforma que permitía seleccionar objetivos y entregar código malicioso cuando un anuncio se renderizaba en el navegador o la aplicación del usuario, sin que fuese necesario clicar o abrir un enlace. El informe explica que Discover‑Tech actúa mediante un motor de pujas en tiempo real (RTB) y un servidor denominado NOAS que decide si devolver o no JavaScript malicioso al dispositivo objetivo.
En España, El Independiente documentó que los anuncios con el código de ataque detectado por Citizen Lab se mostraron en terminales conectados a las redes del Ministerio para la Transformación Digital y de la Función Pública, lo que confirma que el vector publicitario llegó al perímetro de la administración. El artículo puntualiza que la presencia del script no equivale automáticamente a una infección consumada, pero sí prueba exposición al vector de intrusión.
Claude Duet: vista previa de investigación para usuarios Pro y Max
Emmanuel Macron: apunta a «manipulación extranjera» en la información
Citizen Lab detalla además que la misma técnica fue empleada para infectar dispositivos en otros objetivos internacionales: su análisis técnico vincula anuncios de Discover‑Tech con la entrega de spyware mercenario —incluyendo comunicaciones posteriores con servidores asociados a Candiru— y documenta impresiones en casi 200.000 sitios y aplicaciones durante el periodo estudiado.
La investigación explica el mecanismo: cuando un usuario carga una página o app, la subasta RTB comparte metadatos (identificadores publicitarios, IP, localización) que permiten a Discover‑Tech identificar y perfilizar usuarios concretos. Si el usuario coincide con los parámetros del atacante, el servidor devuelve código que puede cargar un exploit. Citizen Lab describe la secuencia temporal que va de la impresión del anuncio al contacto con servidores validador y, finalmente, con servidores de mando y control del spyware.
Tras la publicación del informe, varios proveedores del ecosistema publicitario tomaron medidas: Google y asociaciones del sector eliminaron a Discover‑Tech de listados de proveedores y plataformas como Beeswax y Eskimi bloquearon accesos, según Citizen Lab. El informe también contiene recomendaciones para reguladores y empresas de anuncios destinadas a mitigar este tipo de abuso.
Por su parte, El Independiente subraya el riesgo que plantea un vector que viaja mezclado con tráfico web legítimo y advierte sobre la fragilidad de perímetros corporativos y ministeriales frente a ataques que no requieren interacción del usuario. Ambos trabajos coinciden en pedir investigaciones regulatorias y técnicas adicionales para determinar alcance e impacto reales en infraestructuras estatales.
Qué sigue: Citizen Lab reclama a reguladores y a la industria publicitaria que investiguen a Discover‑Tech y a sus socios —Candiru, Intelos y otros—, y propone medidas técnicas y de gobernanza para cortar el acceso de estos actores al mercado de la publicidad programática. El Independiente pide al Gobierno español aclaraciones sobre el grado de exposición y las medidas de mitigación aplicadas por el Ministerio para la Transformación Digital y de la Función Pública.
Sources
- El Independiente — informó que impresiones publicitarias con scripts de ataque aparecieron en terminales conectados a las redes del Ministerio para la Transformación Digital y de la Función Pública.
- The Citizen Lab — publicó el informe técnico que describe la técnica «AdFection», documenta la plataforma Discover‑Tech y vincula impresiones maliciosas con la entrega de spyware mercenario.
