Hackeo de celular con un anuncio: así funciona el zero-click
Por MatchCode
Sí, es posible: un hackeo de celular con un anuncio, sin que toques nada. El 15 de octubre de 2026, Citizen Lab mostró por primera vez cómo una empresa usaba las subastas de publicidad para elegir víctimas y mandarles spyware solo a ellas. Te explicamos cómo funcionaba y por qué el problema no era el anuncio en sí.
Qué descubrió Citizen Lab
Citizen Lab, un laboratorio que investiga ataques digitales, publicó la primera demostración técnica de infecciones zero-click con spyware mercenario entregado por anuncios dirigidos. Al caso lo llamaron AdFection.
Zero-click quiere decir exactamente eso: cero clics. La víctima no tiene que abrir un enlace ni descargar nada. Basta con que el anuncio se cargue en su pantalla.
Cómo funciona un anuncio por dentro
Para entender el ataque hay que entender algo que pasa miles de veces al día en su celular:
- Una app o una página va a mostrarte un anuncio.
- En ese instante se hace una subasta en tiempo real, en milisegundos.
- A esa subasta viajan tu identificador de publicidad y tu IP.
- Las empresas que pujan usan esos datos para decidir cuánto ofrecer por mostrarte su anuncio.
El sistema está pensado para vender publicidad dirigida. Pero tiene un efecto secundario: le cuenta a quien puje quién eres, o al menos lo suficiente para perfilarte.
El giro: anuncios limpios, ataque a la medida
Aquí viene lo curioso. Discover-Tech, una empresa israelí, pujaba en esas subastas, pero no para venderte nada.
Con el identificador de publicidad y la IP revisaba quién era cada usuario:
- Si no eras su objetivo, te salía un anuncio normal.
- Si eras uno de los elegidos, te llegaba un código malicioso en JavaScript para instalar el spyware.
Ese es el truco. Los anuncios no traían el virus: eran «limpios», lo que les permitía pasar los filtros. El servidor decidía en vivo a quién atacar, y a casi todo el mundo le mostraba algo inofensivo.
Por qué casi nadie lo notó
Si el código malicioso solo le llega a unos pocos, el resto de usuarios, revisores y sistemas de control solo ven publicidad común. No hay un patrón masivo que levante sospechas.
El alcance del hackeo por anuncios
Los anuncios de Discover-Tech aparecieron en unos 200.000 sitios y apps: más de 120.000 sitios web y 70.000 apps entre marzo y junio de 2026.
Esa red servía de camuflaje: la víctima no tenía que visitar un sitio raro.
Las víctimas: periodistas de Al Jazeera
Al menos 45 dispositivos de Al Jazeera fueron atacados, en un caso vinculado con alta confianza al spyware de Candiru.
Ojo con el matiz: los 45 son dispositivos atacados, no infecciones confirmadas. Además, hay cosas que el informe no resuelve:
- Qué exploit usaron para entrar al navegador o a la app (Citizen Lab no lo recuperó).
- Cuántos equipos quedaron infectados de verdad.
- Quién contrató los ataques (Citizen Lab no lo atribuye).
Qué pasó después
Tras el informe, Google sacó a Discover-Tech de sus plataformas de anuncios, y IAB Europe la quitó de su lista de proveedores.
Qué nos deja este caso
El problema de fondo no era el anuncio, sino la subasta. Cada vez que se carga publicidad, sus datos viajan a muchas empresas que pujan, y basta con que una de ellas tenga malas intenciones para convertir ese flujo en un sistema de selección de víctimas.
Preguntas frecuentes
¿Qué es un ataque zero-click?
Es un ataque que no necesita ninguna acción de la víctima: ni tocar un enlace ni instalar nada. En este caso, bastaba con que se cargara un anuncio.
¿El anuncio traía el virus?
No. Los anuncios eran limpios. El servidor de Discover-Tech decidía en vivo quién era objetivo y solo a esas personas les enviaba el JavaScript malicioso.
¿Cuántas personas fueron infectadas?
No se sabe con certeza. Al menos 45 dispositivos de Al Jazeera fueron atacados, pero eso no equivale a infecciones confirmadas.
Mira el Short y sigue a MatchCode
Mire el Short en YouTube para ver la subasta animada en menos de dos minutos. Y sigan a MatchCode en YouTube, TikTok e Instagram (@MatchCodeOficial) y en matchcode.dev para más tecnología explicada por dentro.