Imagina que estás navegando en tu teléfono. Abres una aplicación, quizás el clima o un juego. Ves un anuncio. No recuerdas qué anunciaba. Ni siquiera lo tocaste. Pero en ese instante, sin que lo supieras, tu dispositivo pudo haber sido infectado por un software de espionaje de nivel militar. Suena a guion de ciencia ficción, pero es la realidad que el Citizen Lab de la Universidad de Toronto documentó el 15 de octubre de 2026 en un informe que sacude los cimientos de la seguridad digital.

La técnica se bautizó como "AdFection". No requiere que hagas clic, que descargues un archivo ni que caigas en un correo fraudulento. Basta con que el anuncio se muestre en tu pantalla para que un código malicioso se ejecute y abra una puerta trasera en tu dispositivo. El vehículo es la publicidad programática, ese sistema de subastas en tiempo real que decide qué anuncio ves en cada página web o aplicación. Y el actor principal es Discover-Tech, una empresa israelí que se presentaba como un actor legítimo de la industria publicitaria, incluso estando en las listas de proveedores "certificados" por Google y la asociación IAB Europe.

Lo que hace Discover-Tech es, en esencia, secuestrar el sistema. A través de su plataforma Controlium, identifica y perfila dispositivos a escala masiva. En solo cuatro meses, sus anuncios se mostraron en casi 200,000 sitios web y aplicaciones en decenas de países. Cuando encuentra un objetivo de interés, entrega el código malicioso que conecta el dispositivo con los servidores de Candiru (rebautizada como Integrity Labs), una empresa de spyware mercenario bajo control de exportación de Estados Unidos por sus actividades maliciosas. Los objetivos documentados incluyen periodistas de Al Jazeera, redes de la OTAN, la Comisión Europea, el Parlamento Europeo y agencias gubernamentales de varios países.

Y aquí está el punto que nos concierne directamente: México no es un espectador. La investigación identificó anuncios en redes gubernamentales de México, y detectó "traspasos quirúrgicos" a servidores de Candiru en nueve países, entre ellos el nuestro. Esto significa que la infraestructura de espionaje ya operó en territorio mexicano. No sabemos si los dispositivos fueron infectados, pero la puerta estaba abierta.

El impacto es profundo. Durante años, la conversación sobre ciberseguridad se centró en el phishing, el ransomware o los hackeos. Pero AdFection demuestra que el ecosistema publicitario, que mueve miles de millones de dólares y está diseñado para rastrearnos, puede convertirse en la vía de entrega más sofisticada para el espionaje de Estado. La pregunta ya no es si tu empresa o tu gobierno son objetivos, sino si el simple hecho de navegar en internet te convierte en un vector de ataque.

México necesita una reflexión urgente. La publicidad digital no es solo un tema de privacidad o de marketing; es un asunto de seguridad nacional y soberanía digital. Mientras celebramos foros sobre inteligencia artificial, el verdadero campo de batalla ya está en los banners que ignoramos. La lección de AdFection es brutal: en el siglo XXI, el arma más silenciosa no dispara balas; se carga en milisegundos y se esconde en un anuncio que ni siquiera recordarás haber visto.

Roberto Aurioles