Tus apps gratis no son el problema: lo es el SDK de anuncios que llevan dentro

¿Y si lo más peligroso de tu móvil no fuera una app que has instalado, sino el anuncio que te enseña durante medio segundo una app gratuita? Esa es la incómoda pregunta que plantea el último informe de Citizen Lab, y creemos que merece más atención que el típico consejo de «ten cuidado con lo que pulsas». Aquí, nadie pulsa nada.

Qué ha pasado: una empresa de publicidad que hacía de puente para el spyware

El 15 de octubre, investigadores de Citizen Lab, de la Universidad de Toronto, publicaron un informe sobre una técnica a la que llaman AdFection. La describen como la primera confirmación técnica pública de spyware mercenario zero-click distribuido mediante anuncios segmentados. La empresa israelí Discover-Tech, a través de su plataforma Controlium, habría elaborado perfiles de usuarios y los habría desanonimizado, y después habría permitido a proveedores de spyware infectar a los objetivos elegidos cuando aparecía un anuncio.

Según Wired, Citizen Lab concluyó que 45 dispositivos de Al Jazeera fueron objetivo de ataques en 2024 y 2025. El mismo informe señala que, entre marzo y junio de este año, aparecieron anuncios vinculados a la empresa, con etiquetas de script de los atacantes, en más de 70.000 aplicaciones móviles.

El problema es la arquitectura, no un solo actor malintencionado

Es tentador archivarlo como la historia de una empresa turbia. La propia descripción de Citizen Lab apunta en sentido contrario. Un anuncio no es solo una imagen: puede llevar código del anunciante y de otros intermediarios, y ese código se ejecuta dentro de la app o del navegador. Si a eso se suman las subastas en tiempo real que comparten datos del dispositivo, cualquiera que gane la puja puede dirigirse a la pantalla de una sola persona. Como explicó el investigador Bill Marczak a Wired, mientras no cambie esta arquitectura, o las empresas de publicidad no se tomen en serio la verificación de sus clientes, seguiremos viendo este tipo de abusos.

Ése es el punto clave para quien usa apps gratuitas. Cada SDK de anuncios es una puerta que el desarrollador abre a terceros, y rara vez controla lo que entra por ella. Una app gratuita no necesita ser maliciosa ni estar mal programada para convertirse en la vía de entrada. A nuestro juicio, «esta app es de fiar» ha dejado de significar algo cuando la capa de monetización se subcontrata a una subasta.

Los guardianes fallaron, y eso debería cambiar las reglas

El detalle más grave no es técnico. Citizen Lab afirma que Discover-Tech figuró en las listas de proveedores publicitarios certificados y aprobados que mantienen Google e IAB Europe desde 2020 hasta 2026. El investigador Wolfie Christl calificó de desastroso que los grandes proveedores de publicidad, al parecer, no pudieran detectar ni evitar esto durante años.

Para ser justos, la reacción fue rápida una vez salieron a la luz las pruebas. Google dijo a Wired que había bloqueado a Discover-Tech en sus plataformas publicitarias, e IAB Europe lo suspendió de su lista de proveedores. Pero una limpieza después de un informe público no es un control. Creemos que la carga debería cambiar de manos: si una plataforma permite que un proveedor entregue código ejecutable a millones de móviles, verificar a ese proveedor es un deber de seguridad, no una casilla de márketing. Los reguladores, como pidió Christl, deberían analizar el riesgo sistémico y no solo un nombre concreto.

Hay una salvedad que mantiene el análisis honesto. El analista de ciberseguridad Eddy Willems dijo a Al Jazeera que ejecutar código en un navegador no da automáticamente el control total de un dispositivo, porque el atacante puede necesitar una segunda vulnerabilidad para escapar del entorno aislado. Y la documentación describe una operación dirigida, no una infección masiva de usuarios corrientes. Lo más probable es que la mayoría de los lectores no sean el objetivo. Aun así, la misma cadena elabora perfiles de millones de personas antes de elegir a unas pocas.

Qué se puede hacer

Para los usuarios, las opciones son bastante simples: Marczak señala que la gente no puede hacer mucho más que bloquear los anuncios lo más a fondo posible en todos los sitios y plataformas. Nuestra recomendación: usa bloqueadores de contenido donde puedas, mantén actualizados el sistema y el navegador y plantéate pagar por las apps que más usas, porque una versión sin anuncios probablemente reduce esta superficie de ataque. Si eres periodista, activista o trabajas en la administración, considera el bloqueo de anuncios una medida básica de higiene, no paranoia.

Para las plataformas, el veredicto es más claro. Los SDK de anuncios deberían auditarse y aislarse como cualquier otro código de terceros, y la certificación de proveedores debería significar algo. Las apps «gratis» nunca fueron gratis de verdad. Este informe sugiere que la factura puede incluir la seguridad de tu dispositivo.