--[ Anomalía #19 - El monstruo de la publicidad ]--
Octubre 16, 2026
Por: ZoqueLabsEste escrito se distribuye con una licencia Creative Commons CC BY-SA (Reconocimiento - Compartir Igual).
English version
¡Hola, hola!
Cuando el capitalismo entró de lleno a Internet, lo hizo en buena medida de la mano de la publicidad. La fórmula para convertir Internet en un negocio rentable terminó basándose en una nueva lógica publicitaria: conocer lo mejor posible a cada persona para mostrarle el anuncio que tuviera más probabilidades de convencerla de comprar algo.
Y funcionó. Tan bien que convirtió la información sobre nuestras vidas en uno de los recursos más valiosos de Internet.
Desde entonces, el incentivo para saber cada vez más sobre quienes usamos servicios en línea no ha dejado de crecer. Cada visita, búsqueda, interacción o movimiento puede dejar un rastro que, combinado con muchos otros, permite construir perfiles increíblemente detallados de las personas.
Desde el punto de vista del marketing, esto es oro puro. Desde la perspectiva de la privacidad y los derechos humanos, es una pesadilla.
Corporaciones cuyo principal incentivo es económico han construido una infraestructura capaz de decidir, con una precisión bastante aterradora, qué publicidad recibe cada persona. Y para hacerlo han desarrollado mecanismos de recolección, intercambio y análisis de información que hoy tienen aplicaciones mucho más preocupantes que vendernos unos zapatos.
En esta edición de Anomalía reseñamos una investigación de Citizen Lab,Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware, que muestra hasta dónde puede llegar este ecosistema: la infraestructura publicitaria de Internet puede utilizarse para entregar spyware sofisticado a personas específicamente seleccionadas, sin necesidad de que hagan clic en un enlace malicioso.
La idea no apareció de la nada. En diciembre de 2025,Amnesty Tech publicóTo Catch a Predator, una investigación basada en documentos internos filtrados de Intellexa. Allí conocimos Aladdin, un componente que la compañía promocionaba como capaz de convertir cadenas de explotación que requerían un clic en ataques zero-click mediante publicidad dirigida.
Pero ¿cómo puede una publicidad terminar convertida en una herramienta de vigilancia o incluso en un mecanismo para comprometer un dispositivo?
La respuesta está, en buena parte, en la manera en que funciona la publicidad en Internet.
Cada vez que cargamos una página o aplicación que muestra anuncios, puede producirse una pequeña subasta automatizada que dura apenas milisegundos. Una plataforma publicitaria comparte información sobre la persona y su dispositivo con posibles compradores de publicidad, quienes calculan cuánto están dispuestos a pagar para mostrar su anuncio.
Esa información puede incluir características del dispositivo, ubicación aproximada, intereses e identificadores que permiten reconocer a una persona a través de distintos servicios. Los compradores pueden cruzarla con sus propias bases de datos para decidir si vale la pena participar en la subasta.
Todo esto ocurre antes de que terminemos de cargar la página.
Y aquí aparece uno de los aspectos más problemáticos del sistema: para recibir información sobre una persona no siempre es necesario ganar la subasta ni mostrarle publicidad.
Durante años, empresas dedicadas a recopilar y comercializar información, conocidas como data brokers, han aprovechado distintas fuentes de datos publicitarios para construir enormes bases de información sobre personas y dispositivos. Parte de esta información termina utilizándose para seguimiento, geolocalización y otros servicios de vigilancia.
Los identificadores publicitarios son especialmente importantes. Aunque un identificador no necesariamente incluya el nombre de una persona, puede cruzarse con otras bases de datos hasta asociarlo con una identidad concreta. Así, información que aparentemente no identifica a nadie puede terminar revelando quién es una persona, dónde ha estado o qué aplicaciones utiliza.
Y si es posible identificar a una persona dentro de ese sistema, también puede ser posible reconocer cuándo está a punto de recibir un anuncio.
Ahí es donde la publicidad se convierte en un mecanismo de entrega de exploits.
Un operador que consigue identificar a su objetivo dentro del ecosistema publicitario puede intentar comprar el espacio que esa persona está por recibir y utilizarlo para entregar contenido malicioso. Si el navegador o alguno de sus componentes tiene vulnerabilidades explotables, la simple carga del anuncio puede desencadenar una cadena de explotación sin que la persona tenga que hacer clic en nada.
Esto es particularmente inquietante porque aprovecha una infraestructura que ya está instalada en buena parte de Internet y que fue diseñada precisamente para encontrar personas específicas y entregarles contenido.
El cibercrimen lleva años utilizando publicidad maliciosa, o malvertising, para distribuir malware, redirigir a sitios fraudulentos y ejecutar campañas de phishing. Lo que muestran las investigaciones recientes es que estas mismas capacidades también pueden incorporarse a operaciones de vigilancia altamente dirigidas, incluyendo el despliegue de spyware mercenario.
Y los problemas del ecosistema publicitario van mucho más allá del malware.
Desde hace años conocemos investigaciones sobre el uso de datos de ubicación comercializados por data brokers para identificar dispositivos que visitan lugares sensibles, incluidas clínicas de salud reproductiva. En un contexto de restricciones al aborto, la posibilidad de asociar esas visitas con identidades concretas representa un riesgo muy serio para la privacidad y la seguridad de las personas.
A esto podemos sumar la manipulación de la opinión pública, las estafas, la desinformación, la promoción de nudify apps —de las que hablamos en la edición anterior— y muchas otras formas de abuso que aprovechan las capacidades de segmentación y distribución de la publicidad digital.
Hicimos de Internet un negocio construyendo una maquinaria de recolección de información personal, y ahora esa misma maquinaria puede utilizarse para vigilar, perseguir e incluso comprometer los dispositivos de las personas.
Y aquí creemos que hay una responsabilidad enorme de la industria publicitaria.
Las plataformas que recolectan y distribuyen información, los intermediarios que participan en las subastas, las empresas que comercializan perfiles y quienes facilitan la entrega de anuncios forman parte de una infraestructura cuyas consecuencias ya no pueden tratarse simplemente como problemas de privacidad o usos inesperados de la tecnología.
Hay decisiones comerciales y técnicas que hicieron posibles estas capacidades. Hay empresas que se benefician económicamente de ellas. Y hay responsabilidades que deberían investigarse, hacerse públicas y someterse a controles mucho más estrictos.
Para quienes trabajamos en seguridad digital con sociedad civil, estas investigaciones también nos dejan tareas concretas.
Necesitamos mirar con más atención la infraestructura publicitaria, entender cómo puede aparecer en las cadenas de infección, buscar sus rastros durante las investigaciones forenses y promover estrategias que reduzcan al mínimo la información que estas plataformas reciben sobre personas en riesgo.
Porque bloquear publicidad ya no es solamente una cuestión de evitar anuncios molestos o mejorar la experiencia de navegación. También puede ser una medida de protección frente a mecanismos de seguimiento y, en determinados escenarios, frente a la entrega de exploits.
Internet terminó financiándose mediante un sistema que necesitaba saber cada vez más sobre nuestras vidas. Ahora estamos viendo con bastante claridad qué ocurre cuando esas capacidades quedan disponibles para actores interesados en algo muy distinto de vender publicidad.
Y quizás sea hora de exigirle a la industria que responda por el monstruo que ayudó a construir.
Y no siendo más, Anomalía.
--[ Spyware ]--
Israel - Mensajes filtrados revelan vínculos entre la campaña de Netanyahu y los medios
Una filtración de conversaciones de WhatsApp de Jonatan Urich, asesor de Netanyahu, dejó al descubierto sus intercambios con Amit Segal, uno de los principales analistas políticos de Israel. Segal le daba consejos sobre los videos y los mensajes de campaña, mientras Urich compartía discursos que Netanyahu preparaba. La filtración también revela otra pieza del asunto: Urich habría expuesto información sensible mediante una aplicación de monitoreo de medios que desarrolló con IA y código generado por IA.
AdFection - spyware distribuido a través de anuncios
Una investigación de Citizen Lab encontró que Discover-Tech, una empresa israelí que se presentaba como proveedora de publicidad, aprovechó esa infraestructura para facilitar ataques con spyware. Su plataforma, Controlium, permitía seleccionar dispositivos mediante identificadores publicitarios, cookies y direcciones IP, y enviar código malicioso cuando aparecía un anuncio. Así, lo que normalmente habría sido un ataque de un clic podía convertirse en uno de cero clics: bastaba con que el anuncio se mostrara para iniciar la infección. Los investigadores vincularon esta técnica, bautizada AdFection, con la infección de al menos 45 dispositivos de Al Jazeera mediante spyware de Candiru. También identificaron un cliente que aparentemente utilizaba spyware de Bindecy en Colombia y México, aunque no pudieron determinar quién operaba esos dispositivos. El análisis de casi cuatro mil millones de registros publicitarios muestra la escala del problema: los anuncios de Discover-Tech aparecieron en cerca de 200.000 sitios web y aplicaciones. La infraestructura cotidiana del marketing terminó funcionando como una vía para la vigilancia y el espionaje.
XWorm amplía sus capacidades de vigilancia
XWorm lleva tiempo circulando, pero la filtración pública de su código y constructor en 2025 impulsó nuevas versiones y más actividad. Según Netskope, las detecciones se cuadruplicaron entre el tercer trimestre de 2025 y el mismo periodo de 2026. Lo interesante de esta evolución es que ya no se limita a robar información, ahora incorpora módulos que pueden convertirla en una plataforma de vigilancia como activar el micrófono, capturar imágenes de la cámara, obtener la ubicación del dispositivo y controlar sesiones de navegación que ya están autenticadas, sin necesidad de robar las contraseñas ni volver a pasar por la autenticación multifactor. Netskope registró actividad especialmente en Brasil y también en Panamá, entre otros países, con afectaciones en distintos sectores.
Android - troyanos bancarios con nuevas capacidades de control remoto y vigilancia
El reporte de Point Wild para el tercer trimestre de 2026 muestra que los troyanos bancarios representaron el 56,4 % de las muestras de malware Android analizadas. Dos familias recientes, RemControl y RatHat, combinan el robo de credenciales con control remoto, registro de pulsaciones y captura de códigos de autenticación. RatHat incorpora navegación asistida por IA y puede aprovechar la depuración inalámbrica para obtener acceso al sistema, mientras que otras campañas están combinando troyanos donde se retransmite en tiempo real los datos de tarjetas contactless para realizar retiros y pagos. La mayoría de estas infecciones comienza fuera de las tiendas oficiales, con APK disfrazados de aplicaciones bancarias o de streaming, anuncios y llamadas fraudulentas que convencen a la persona de instalar la aplicación y conceder permisos de accesibilidad.
--[ Análisis ténicos ]--
Coruna y DarkSword: nuevos intentos de adaptación para iOS 26
Un análisis de NetAskari describe Divine Seagull, un framework que retoma componentes de Coruna y DarkSword e intenta ampliar su funcionamiento a dispositivos con iOS 26.0 y 26.1. El código incluye varias rutas de explotación en desarrollo, pero buena parte sigue siendo experimental y depende de componentes antiguos que no parecen funcionar en las versiones recientes de iOS. Entre sus componentes hay intentos de explotar WebKit, aprovechar fallos en la ejecución de código WebAssembly y sortear protecciones del sistema. El framework también incorpora herramientas para recopilar cookies, historial de navegación y datos almacenados por el navegador si las demás etapas no consiguen avanzar.
--[ Violencia Digital ]--
América Latina - Operativos contra redes de explotación sexual infantil
NTERPOL informó sobre la detención de 95 personas tras cuatro operaciones realizadas entre marzo y septiembre de 2026, con participación de 17 países de América Latina y Europa. Las investigaciones se centraron en grupos de mensajería utilizados para compartir y comercializar material de abuso sexual infantil, con pagos en criptomonedas. En Colombia, las autoridades pusieron a salvo a una niña de cinco años y detuvieron a su progenitor, señalado de producir y vender material de abuso. En Panamá, fue detenido el administrador de un grupo con más de 700 usuarios; en Ecuador, el análisis de dispositivos permitió encontrar más de 4.000 archivos de este tipo. Los casos muestran distintas formas de violencia que se sostienen en espacios digitales: producción de material de abuso, circulación de imágenes, captación de menores y extorsión sexual.
Empresa de asistencia contra la sextorsión enfrenta una demanda por fraude
La Comisión Federal de Comercio de Estados Unidos (FTC) presentó una demanda contra Digital Forensics Corporation y su propietario, acusándoles de cobrar al menos 60 millones de dólares mediante promesas engañosas de ayuda a personas que sufren sextorsión. Según la denuncia, la empresa ofrecía rastrear a responsables, reunir pruebas y contactar a las autoridades, con paquetes que costaban entre 1.499 y 20.000 dólares, pero en muchos casos no prestaba los servicios prometidos. La FTC también señala que la compañía habría fabricado informes de investigación, presionando a las personas para contratar servicios adicionales y publicando reseñas positivas falsas para ocultar las críticas. Acá observamos otro tipo de explotación alrededor de la violencia digital: empresas que se presentan como solución para personas en una situación de angustia y aprovechan esa urgencia para cobrarles por una ayuda que, según la denuncia, no reciben.
Meta tardó varios días en retirar cuentas reportadas por publicar videos de violencia infantil generados con IA
En una investigación publicada el 7 de octubre, Futurism reportó 19 cuentas de Facebook que difundían videos de violencia contra menores generados con inteligencia artificial. Según el medio, las cuentas continuaron activas durante varios días después de ser reportadas a Meta, que respondió tras más de 48 horas y posteriormente retiró el contenido. El medio documentó que una cuenta previamente eliminada había vuelto a estar disponible con sus publicaciones. Ya hemos documentado en Anomalía anuncios de Meta que promocionan apps para desnudar digitalmente a menores, ahora vemos como sus canales de denuncia tampoco son los más efectivos.
Xandr multada por compartir datos personas usuarias de Grindr con anunciantes
La autoridad noruega de protección de datos impuso a Xandr, empresa de tecnología publicitaria adquirida por Microsoft en 2021, una multa de 92 millones de coronas noruegas por transferir ilegalmente datos personales de usuarios de Grindr a redes publicitarias entre 2018 y 2020. La información incluía identificadores de dispositivos, direcciones IP y datos de navegación que, por el uso de una aplicación dirigida a la comunidad LGBTQIA+, podían revelar la orientación sexual de las personas. La empresa alegó que asumía que Grindr había obtenido el consentimiento, pero el regulador determinó que Xandr también debía verificar que el tratamiento de esos datos fuera legal. En contextos donde las personas LGBTQIA+ enfrentan discriminación, persecución o violencia, convertir el uso de una aplicación de citas en información para el perfilamiento publicitario implica riesgos que van mucho más allá de la publicidad personalizada. Una vez más, la infraestructura de anuncios aparece como una vía para recopilar y compartir información sensible sobre comunidades que pueden estar especialmente expuestas.
--[ Ciberataques ]--
Cuba - Ataque DoS contra la base de datos de presos políticos
Prisoners Defenders denunció un ataque de denegación de servicio (DoS) contra su sitio web y la base de datos de presos políticos en Cuba, ocurrido minutos después de publicar su informe de septiembre de 2026, que registró un récord de 1.351 personas encarceladas por motivos políticos o de conciencia. Según la organización, cientos de direcciones IP generaron solicitudes automatizadas que saturaron sus servidores e interrumpieron temporalmente el acceso a la información. La entidad afirmó que logró contener el ataque y que no hubo filtración ni alteración de los datos. Aunque el origen y los responsables siguen sin identificarse, el momento del incidente afectó el acceso a información utilizada por familiares, medios y organizaciones de derechos humanos.
--[ Vigilancia ]--
DHS registró a observadores de ICE en una base de datos de Palantir
Documentos judiciales señalan que agentes del Departamento de Seguridad Nacional de Estados Unidos (DHS) registraron información de personas que observaban operativos migratorios en Maine. Los registros incluían fotografías, matrículas y datos personales, y se almacenaban en Investigative Case Management (ICM), un sistema construido con software de Palantir. Según la demanda, al menos seis observadores fueron registrados; algunos fueron etiquetados como posibles amenazas y sus fotografías se compartieron para realizar búsquedas de reconocimiento facial. Los documentos también describen advertencias sobre una posible inclusión en listas de vigilancia y el uso de esos registros en controles fronterizos. El gobierno sostiene que se trató de incidentes aislados y niega mantener una base de datos específica de ciudadanos que protestan contra ICE.
Una operación rusa utilizó documentos falsos para influir en escuelas de Perú y Ecuador
Una operación vinculada a actores rusos envió instrucciones falsas a escuelas de Perú y Ecuador, haciéndose pasar por autoridades educativas. En Perú, la propuesta era celebrar un supuesto día de la diversidad cultural e incluir a tres figuras políticas ucranianas; en Ecuador, organizar una ceremonia de adhesión a Daniel Noboa y Erik Prince. Algunas escuelas siguieron las instrucciones y terminaron convirtiéndose en parte de una operación que buscaba meter mensajes políticos en espacios educativos. Según el análisis de OpenAI, sus responsables usaron IA para redactar contenidos, traducirlos y organizar el trabajo. El informe también menciona actividad dirigida a Argentina y Bolivia.
--[ Ransomware ]--
América Latina - DeadLock combina credenciales robadas, herramientas legítimas y proxies en blockchain
DeadLock es un grupo de ransomware activo desde julio de 2025, con actividad documentada en Argentina, Brasil, Colombia, México y Uruguay, entre otros países. Según el análisis de Cyble, la operación utiliza credenciales comprometidas y herramientas como AnyDesk para moverse dentro de los equipos, desactiva las defensas de Windows y elimina opciones de recuperación antes de cifrar los archivos. Una de sus particularidades está en el uso de contratos inteligentes de Polygon para obtener las direcciones de sus servidores intermediarios: si una dirección deja de funcionar, pueden actualizarla sin modificar el malware. En lugar de publicar los datos robados en un sitio de filtraciones, como hacen otros grupos, amenazan con venderlos en mercados clandestinos.
Qilin anuncia ataques a organizaciones de México, Ecuador y Colombia en pocos días
Entre el 11 y el 13 de octubre, el grupo de ransomware Qilin publicó anuncios de ataques contra tres organizaciones latinoamericanas: Confipetrol, en Colombia; ConAuto, en Ecuador; y COMAPA Victoria, el organismo municipal de agua y saneamiento de Ciudad Victoria, México. Los casos abarcan servicios empresariales, distribución automotriz y un servicio público esencial. En sus publicaciones, Qilin amenaza con divulgar información si no se llega a un acuerdo. Se mueve el ransomware en la región.
Brinztech Dexpose Ecuador Dexpose Colombia
--[ Exfiltradaz - Snapshot del 02/10/2026 al 16/10/2026 ]--
Durante este periodo se identificaron 17 referencias a filtraciones, accesos comprometidos y publicaciones asociadas a ransomware en tres países de América Latina. Brasil concentró la mayor cantidad de registros observados, con 13 referencias, seguido por Ecuador y Uruguay.
La actividad asociada a ransomware incluyó publicaciones sobre organizaciones de Ecuador, Brasil y Uruguay. Entre ellas aparecen la sede de la Policía Nacional de Ecuador, Santos Brasil —operadora portuaria— y la Asociación de Escribanos del Uruguay. Entre los nuevos autores observados durante el periodo están akm69 y protonalien. Las principales fuentes fueron niflheim, ransomware y blackhatworld.
Más detalles de estas filtraciones en Exfiltradaz.
--[ ZOLIM --> Snapshot 16/10/2026 ]--
14 nuevas y muy interesantes IPs para este snapshot de ZOLIM. Con estas ya completamos 299 servidores detectados desde que empezamos el observatorio. :)
Algunas señales interesantes:
- México: Seguimos detectando Sliver pero esta vez salimos de las ciudades pequeñas y lo detecctamos en Ciudad de México
- Colombia: Dos señales importantes, la primera es la proliferación de DCRat en IPs de Valledupar probablemente relacionadas con Blind Eagle, y encontramos un curioso Havoc en Cota, Cundinamarca. Esta localidad aloja varios datacenters, en esta ocasión el ASN alojando el malware pertenece a Oracle. En Brasil observamos el abuso de datacenters de Oracle probablemente debido a los servidores gratis que funcionan si se tienen en el mismo país desde donde se operan. ¿llegará esta tendencia a Colombia?
- Brasil: Detectamos una nueva instancia de Cobalt Strike; (Rio de Janeiro) y junto con esta en el mismo ASN (AS402169) encontramos unas instancia de GoPhish (El Salvador). También detectamos una instancia nueva de Sliver en Goiânia. Estos dos casos se suman a la tendencia que ya veníamos observando de implantes más sofisticados.
> Si quieres profundizar, date una vuelta por ZOLIM. En la tabla de la parte inferior puedes buscar y cruzar los datos por país, ASN, IP, amenaza, ciudad y otros campos. Cada IP es una buena excusa para empezar a investigar. :)