La filial europea del Interactive Advertising Bureau (IAB), un organismo del sector publicitario, confirmó a WIRED que ha suspendido a Discover-Tech de su lista global de proveedores, conocida como GVL. Según afirma, la empresa fue suspendida por IAB Europe tras una auditoría de sus políticas. «Una confirmación adicional de los hallazgos relativos al software espía también podría justificar una expulsión definitiva de la GVL», declara un portavoz de IAB Europe.
Un portavoz de Beeswax, una empresa del sector de la publicidad en línea propiedad de Comcast, afirma en un comunicado: «Beeswax eliminó a Discovery-Tech de la plataforma tras su actividad reciente y la validación independiente realizada por un especialista en seguridad externo. Mantenemos una política de tolerancia cero con la publicidad maliciosa«.
A menudo, cuando ves anuncios en línea o en aplicaciones, estos se muestran tras un proceso complejo conocido como subasta en tiempo real, básicamente, una subasta automatizada en la que los anunciantes pujan para mostrarte anuncios específicos. Este proceso, que dura milisegundos, puede dar lugar a que los anunciantes recopilen enormes volúmenes de datos sobre tu dispositivo, tu ubicación y tu historial de navegación, además de mucho más. Este proceso ha sido una pesadilla para la privacidad durante años, con opacos intermediarios de datos que venden la información personal de las personas, y con organismos de las fuerzas del orden y naciones hostiles que la compran para rastrear o perseguir a personas.
Los investigadores de Citizen Lab afirman que Discover-Tech opera una plataforma publicitaria, Controlium, que permite a sus usuarios «desanonimizar, identificar e infectar automáticamente dispositivos» una vez que aparece un anuncio. En total, los investigadores estiman que millones de dispositivos fueron redirigidos a los servidores de Candiru, donde se pudo crear un perfil de ellos. Tras analizar los registros de pujas publicitarias expuestos públicamente en el sitio web de Discover-Tech, los investigadores de Citizen Lab señalan que entre marzo y junio de este año se mostraron anuncios vinculados a la empresa con etiquetas de scripts maliciosos en más de 70,000 aplicaciones móviles y más de 120,000 sitios web. Según los investigadores, varias apps mostraron más de un millón de anuncios vinculados a Discover-Tech.
No es que todos los anuncios de la empresa estuvieran necesariamente diseñados para distribuir software espía, pero los investigadores afirman que han observado impresiones publicitarias de Discover-Tech en redes gubernamentales y relacionadas con la seguridad nacional de todo el mundo. Entre ellas se incluyen redes de la OTAN y de las Naciones Unidas, así como órganos legislativos en Europa, proveedores de infraestructuras críticas en Australia, además de fuerzas armadas y organismos gubernamentales en Noruega y Suecia.
Las anteriores campañas publicitarias de cero clic que distribuyen software espía rara vez han salido a la luz pública, pero los investigadores del Citizen Lab afirman que esto es probablemente un síntoma de que la infraestructura publicitaria goza de una confianza tan amplia y está tan integrada en todos los aspectos de la vida digital sin una supervisión específica.
Software espía escondido en la publicidad
«Los registros de red de Al Jazeera fueron clave para comprender la naturaleza publicitaria de ese ataque. Si el dispositivo personal de un usuario fuera el objetivo, por ejemplo, mientras está conectado a la red WiFi de su casa o a datos móviles, no habría el mismo nivel de supervisión de la red en ese caso. Por eso creo que la falta de denuncias previas se debe a un problema de visibilidad: los defensores tienen que estar en el lugar adecuado en el momento adecuado, analizando los datos correctos», explica Marczak.
Hablando en términos generales sobre las amenazas que pueden derivarse de la enorme omnipresencia del ecosistema de la publicidad digital, Jason Kint, CEO de la organización sectorial de medios digitales Digital Content Next (de la que forma parte Condé Nast, empresa matriz de WIRED), afirma que este tipo de ataques son tanto plausibles como perjudiciales.
«Aunque son poco frecuentes y sofisticados, no me sorprendería del todo enterarme de ataques de cero clics a través de anuncios. Cualquier cosa que vaya directamente en contra de las expectativas de los usuarios o que merme la confianza en la web abierta resulta profundamente preocupante», concluye Kint.
Artículo originalmente publicado en WIRED.com. Adaptado por Alondra Flores.
