Siempre nos han dicho que, para evitar un virus, no debemos pulsar anuncios sospechosos. Pero ¿qué ocurre cuando basta con que aparezcan en pantalla? Una investigación de Citizen Lab, de la Universidad de Toronto, ha destapado una campaña de espionaje capaz de actuar sin que la víctima toque nada.Los investigadores la han bautizado como AdFection y la relacionan con ataques contra al menos 45 dispositivos de la cadena Al Jazeera durante 2024 y 2025. Es la primera demostración pública documentada de un programa espía comercial distribuido mediante anuncios personalizados sin necesidad de hacer clic.Un anuncio normal podía abrir la puerta al espionaje Ejemplos de anuncios de Discover-Tech identificados por Citizen Lab en páginas web y aplicaciones móvilesEl mecanismo aprovechaba algo que ocurre constantemente mientras navegamos. Cuando una web o aplicación muestra publicidad, distintas empresas compiten en una subasta automática para decidir qué anuncio aparece. Durante ese proceso también circula información sobre el dispositivo, como su dirección de Internet o identificadores publicitarios.Según lo informado por Citizen Lab, la empresa israelí Discover-Tech utilizaba estos datos para reconocer a personas específicas. Si una de ellas recibía el anuncio preparado, este podía contactar con servidores externos y descargar el código necesario para intentar infectar el equipo.Detrás del programa espía estaba Candiru, una compañía israelí ahora conocida como Integrity Labs. Las pruebas reunidas por Citizen Lab conectan los anuncios con sus servidores y con dispositivos comprometidos en Al Jazeera.Lo preocupante es que no hacía falta aceptar permisos ni abrir enlaces. El ataque podía comenzar mientras el usuario leía una noticia o utilizaba una aplicación. No es la primera vez que aparece una amenaza semejante, pues Pegasus también infectó el móvil de un eurodiputado sin que pulsara ningún enlace, aunque en ese caso empleaba otro método.La campaña llegó a miles de webs y aplicacionesLa dimensión del sistema resulta cuanto menos inquietante. Citizen Lab examinó cerca de 4.000 millones de registros publicitarios y encontró anuncios de Discover-Tech en más de 120.000 páginas web y 70.000 aplicaciones móviles entre marzo y junio de 2026.También aparecieron en redes relacionadas con instrucciones internacionales y organismos públicos. Eso no significa que todos esos usuarios fueran espiados o infectados: una cosa es recibir publicidad y otra ser seleccionado para un ataque.Tras conocerse las conclusiones, Google retiró a Discover-Tech de sus plataformas publicitarias, mientras IAB Europe y otras empresas adoptaron medidas para bloquear su actividad.Para reducir riesgos, los investigadores recomiendan utilizar bloqueadores de anuncios fiables, limitar el seguimiento publicitario y mantener los dispositivos actualizados.Eso sí, ninguna medida ofrece una protección absoluta. El caso de Al Jazeera deja una advertencia muy incómoda: incluso la publicidad que parece inofensiva puede convertirse en una puerta de entrada al espionaje.