Una vasta red de publicidad digital convertida en arma para recopilar datos personales y distribuir “spyware” malicioso (programas espías, en español) a dispositivos específicos en todo el mundo: eso es lo que la firma israelí Discover-Tech habría conducido por al menos cuatro meses, según una investigación de Citizen Lab, organización canadiense de vigilancia cibernética, y Confiant, empresa de seguridad publicitaria con sede en Nueva York.
"El hallazgo principal es que la infraestructura publicitaria se utilizó como arma para la preparación avanzada, la segmentación preliminar y la entrega de cargas útiles, caracterizada por una sofisticación técnica excepcional, sólidas medidas contra interceptaciones y una microsegmentación precisa", afirmó Confiant en sus conclusiones de la investigación, revelada el 15 de octubre.
Esta operación coordinada les permitió a Candiru –empresa israelí de ‘spyware’ incluida en la lista negra de EE.UU. y rebautizada como Integrity Labs– y al proveedor de vigilancia Intelos explotar el inventario de publicidad comercial en las principales plataformas globales, incluidas Google, Beeswax y la rusa Yandex, para rastrear objetivos y comprometer dispositivos de los consumidores.
Citizen Lab describió la campaña como la primera confirmación técnica y pública de un software espía malicioso que no necesita clics y se distribuye a través de publicidad en línea, un método que los investigadores denominaron "AdFection".
Entre los dispositivos afectados a través de los anuncios maliciosos están algunos pertenecientes a personal de la cadena internacional de noticias Al Jazeera. Tales anuncios operaban silenciosamente sin ventanas emergentes visibles ni enlaces sospechosos, añadieron los investigadores.
Gráfico de identidad global y recolección de datos
Discover-Tech operaba un sistema especializado llamado Controlium, que convertía las subastas de publicidad comercial rutinarias en un extenso aparato de vigilancia. Tras analizar 4.000 millones de registros de subastas, los investigadores descubrieron que la empresa distribuyó anuncios en casi 200.000 sitios web y aplicaciones móviles para Android e iOS en decenas de países durante un período de cuatro meses.
"Discover-Tech genera aproximadamente 10 millones de impresiones de anuncios al día, y cada una alimenta un gráfico de identidad construido a partir de huellas digitales de dispositivos, direcciones IP, identificadores de publicidad y, a menudo, las cookies del propio sitio web o aplicación" donde se publicaron los anuncios, afirmó Confiant.
Los investigadores descubrieron que la publicidad recopilaba sistemáticamente cookies de sesión de usuario, tokens de inicio de sesión autenticados e identificadores personales directamente de los sitios web, extrayendo los datos incluso cuando las regulaciones de privacidad de la Unión Europea prohibían estrictamente el procesamiento sin consentimiento.
Citizen Lab también reveló que un actor malicioso afiliado, denominado Dark Cartographer, utilizó la infraestructura de Discover-Tech para explotar vulnerabilidades en proveedores de telecomunicaciones móviles, vinculando identidades publicitarias digitales con números de teléfono físicos para identificar masivamente a los suscriptores móviles.
Foco en Palestina y objetivos sensibles
La telemetría geográfica reveló picos de tráfico significativos que apuntan a operaciones de inteligencia deliberadas en lugar de campañas publicitarias comerciales comunes.
Palestina fue el territorio más atacado, donde Discover-Tech gestionó casi el 2% de todos los anuncios digitales, alcanzando un máximo de aproximadamente el 10% el 7 de abril, con uno de cada 36 anuncios de Android proveniente de la empresa.
El tráfico de vigilancia también llegó directamente a redes administrativas e institucionales sensibles, incluyendo la Oficina del Primer Ministro de Armenia, organismos internacionales, agencias judiciales, universidades y organizaciones de defensa.
Los investigadores detectaron transferencias de datos a servidores de Candiru en nueve países. Bélgica representó el 56% de la actividad observada, seguida de los Emiratos Árabes Unidos, Arabia Saudí, Bahréin, México, España y otros.
Tras hacerse pública la investigación conjunta, Google, la asociación europea de publicidad IAB Europe, Beeswax, Vungle y Eskimi cortaron el acceso de Discover-Tech a sus sistemas de publicidad digital.
