Empresas israelíes de espionaje están convirtiendo los anuncios en un arma. México está en la mira.

En solo cuatro meses, una empresa israelí intentó más de 32 millones de veces colocar anuncios con código de espionaje frente a usuarios en México. Sus anuncios llegaron a redes del gobierno mexicano, a una autoridad electoral y a dos medios de comunicación. No hace falta tocarlos: si el anuncio se carga en la pantalla y la persona es el objetivo, su teléfono queda infectado.

Lo documentó hoy Citizen Lab, de la Universidad de Toronto, en la primera evidencia técnica pública de spyware mercenario de “cero clics” entregado por publicidad. La empresa es Discover-Tech, que se presenta como compañía de publicidad digital y, según el informe, funciona como puente entre empresas de spyware y el mercado de anuncios. Su sistema ya infectó dispositivos de Al Jazeera. Citizen Lab llama a la técnica AdFection.

Lo digo sin rodeos: la industria israelí del espionaje por encargo es una amenaza directa para la democracia mexicana, y ya lo ha demostrado aquí más de una vez. Pegasus espió a periodistas mexicanos. Team Jorge defendió con perfiles falsos a un prófugo del caso Ayotzinapa. Ahora una empresa del mismo ecosistema tiene a México entre sus principales blancos de publicidad envenenada.

Esto es lo que vas a encontrar:

• Cómo funciona el ataque. Lo que Citizen Lab encontró y a dónde llegó.
• Lo que el informe dice sobre México. Cuatro hallazgos, leídos con precisión.
• Una industria, no un caso. Las empresas israelíes de espionaje y desinformación que ya operaron en México.
• Quién está en riesgo y qué hacer. Medidas para personas, instituciones y quienes hacen política pública.

Un anuncio basta para infectar un teléfono

Discover-Tech compra espacios publicitarios en sitios y apps comunes a través de las mismas plataformas que usa cualquier anunciante. Cada anuncio lleva un pequeño código que, al cargarse, envía los identificadores publicitarios del dispositivo a un servidor de la empresa. Si el dispositivo corresponde a un objetivo, el servidor responde con código malicioso. Si no, responde con nada. Para las plataformas de publicidad, el anuncio se ve normal.

Los clientes pueden elegir a quién atacar por el identificador publicitario del teléfono, por la cookie del navegador o por la dirección IP.

• Dispositivos de la cadena Al Jazeera fueron infectados con spyware de Candiru, otra empresa israelí, que ahora opera bajo el nombre Integrity Labs. Al menos 45 dispositivos de Al Jazeera fueron atacados. Citizen Lab atribuye el ataque a Candiru con “alta confianza”.
• Entre marzo y junio de 2026, la plataforma de Discover-Tech pujó por más de 3,700 millones de espacios publicitarios y parece haber ganado unos 442 millones.
• Los anuncios con el código del atacante aparecieron en 75,373 apps y 120,768 sitios web.
• Esos anuncios llegaron a redes de la OTAN, del Parlamento Europeo, de la Comisión Europea y de gobiernos en más de 20 países. Confiant, la empresa de seguridad que trabajó con Citizen Lab, encontró señales de anuncios en redes del Departamento de Defensa de Estados Unidos, del Organismo Internacional de Energía Atómica y de la Corte Penal Internacional.

Discover-Tech estuvo registrada como proveedor aprobado en las listas de Google y de IAB Europe de 2020 a 2026. Google le cortó el acceso a sus plataformas de anuncios apenas a principios de octubre.

Lo que el informe dice sobre México

México aparece en cuatro hallazgos del informe.

México es el quinto país con más pujas. La plataforma de Discover-Tech hizo 32,675,229 pujas para mostrar anuncios con código del atacante a usuarios cuya conexión se ubica en México. Solo Yemen, Pakistán, Montenegro y Brasil tuvieron más. Los datos cubren solo cuatro meses y una de las tres plataformas que usó la empresa, así que la cifra real es mayor.

Anuncios en redes del gobierno mexicano y de una autoridad electoral. México está en la lista de países donde aparecieron anuncios de Discover-Tech en redes operadas por el gobierno. El informe también encontró anuncios en redes de organismos de supervisión electoral en Armenia, Indonesia y México, y en las redes de dos medios de comunicación mexicanos. No nombra a ninguna de estas instituciones.

Un cliente de spyware que parece haber operado en México. Citizen Lab identificó a un cliente que parecía estar usando el spyware de Bindecy en México y Colombia. Bindecy es otra empresa israelí que vende herramientas de espionaje a gobiernos. El informe no pudo determinar desde dónde operaba ese cliente.

El equipo de ventas de Candiru entró al sistema desde México. Dos cuentas atribuidas al equipo de preventa de Candiru iniciaron sesión en el panel de control de Discover-Tech desde varios países, entre ellos México.

El tercer punto es el más grave. Citizen Lab no encontró evidencia de anuncios legítimos en los datos de Discover-Tech: cero conversiones en millones de anuncios. Es una plataforma hecha para espiar, y una de las empresas de spyware conectadas a ella parece haber tenido un cliente activo en México. El sistema además está hecho para no dejar rastro: entrega el código solo al objetivo, y según Citizen Lab muchas infecciones no mostraron ninguna señal visible de manipulación. Si hay víctimas en México, lo más probable es que todavía no lo sepan. Nadie ha publicado aún un análisis forense de dispositivos en México como el que expuso el ataque en Al Jazeera, y hasta que alguien lo haga, la falta de confirmación no es una buena noticia.

Esto no es un caso aislado

Discover-Tech no aparece de la nada. Es parte de una industria con nombres que se repiten.

• NSO Group vendió Pegasus, el spyware usado contra periodistas y defensores de derechos humanos en México.
• Candiru es el spyware que infectó a Al Jazeera en esta investigación. Estados Unidos puso a NSO y a Candiru en su lista negra comercial en noviembre de 2021 por suministrar spyware que gobiernos usaron contra periodistas, activistas y funcionarios.
• Bindecy e Intelos están conectadas a Discover-Tech según el informe. Intelos fue fundada por Eric Banoun, a quien el diario israelí Haaretz describe como uno de los pioneros del ciberespionaje ofensivo israelí, y quien también estuvo en el consejo de Discover-Tech.
• Intellexa tenía como administradora de su red corporativa a Sara Hamou, ligada a una empresa que fue accionista de Discover-Tech hasta marzo de 2026. El Tesoro de Estados Unidos sancionó a Hamou y al fundador de Intellexa en marzo de 2024.
• Team Jorge y Archimedes Group se dedican a manipular conversaciones y elecciones con perfiles falsos.

Varias de estas empresas fueron fundadas por exintegrantes de los servicios de seguridad israelíes. El Estado de Israel clasifica Pegasus como arma, y exportarlo requiere licencia de su Ministerio de Defensa. Tomás Zerón, quien autorizó la compra de Pegasus en México y está acusado en el caso Ayotzinapa, vive en la Palestina ocupada, y el Estado de Israel no lo ha extraditado. México tiene todo el derecho de exigir cuentas a quien fabrica estas herramientas y a quien protege a sus clientes.

El espionaje y la desinformación usan los mismos canales

AdFection es espionaje. Pero México también ha sido blanco de empresas israelíes de manipulación en redes, y conviene verlas juntas, porque las dos dependen del mismo sistema de perfiles y segmentación.

Team Jorge. En febrero de 2023, el consorcio de periodistas Forbidden Stories expuso a un grupo israelí sin existencia legal, dirigido por Tal Hanan, que vende campañas de desinformación y hackeo. Su herramienta, llamada AIMS, manejaba más de 30,000 perfiles falsos en redes sociales. Ante los periodistas, el grupo mostró cuentas de Gmail y Telegram de personas que no sabían que habían sido hackeadas, y desde ellas enviaba mensajes haciéndose pasar por las víctimas. Afirmó haber trabajado en 33 campañas presidenciales; Forbidden Stories aclara que esa cifra es difícil de verificar.

Según esa investigación, los bots de AIMS defendieron en 2020 a Tomás Zerón, acusado de secuestro, tortura y manipulación de pruebas en el caso Ayotzinapa. Los perfiles falsos presentaban las acusaciones como una campaña del gobierno mexicano en su contra. El abogado de Zerón negó que su cliente fuera responsable de esa campaña.

Archimedes Group. En mayo de 2019, Facebook eliminó 265 cuentas, páginas y grupos operados por esta empresa israelí de marketing político, por comportamiento inauténtico coordinado. La red apuntaba sobre todo a África y también a América Latina; el DFRLab encontró a Honduras como blanco principal en la región y algunas páginas enfocadas en México.

Juntando las piezas, el riesgo para 2027 tiene dos caras. Una es que alguien entre al teléfono de una funcionaria electoral o de un periodista. La otra es que use lo que encuentre, o lo que invente, en una campaña de perfiles falsos dirigida con la misma precisión. Team Jorge ya mostró que ambas cosas se pueden vender como un solo servicio.

Por qué México es un blanco

El informe no explica por qué México aparece. Lo que sigue es mi lectura, basada en hechos públicos.

México ha tomado partido por Palestina. En mayo de 2024, México pidió intervenir en el caso de Sudáfrica contra Israel por genocidio ante la Corte Internacional de Justicia. La presidenta Claudia Sheinbaum ha dicho que su gobierno se opone al genocidio en Gaza y reconoce a Palestina como Estado, y en mayo de 2026 condenó la agresión israelí contra la Global Sumud Flotilla, en la que viajaban mexicanas y mexicanos. Fuera del gobierno, el movimiento antisionista en México es amplio y visible, en las calles, en las universidades y en las organizaciones. Un país con esa postura, junto con sus diplomáticos y sus activistas, es un blanco lógico para una industria de inteligencia israelí.

México ya fue mercado de spyware. El propio informe lo recuerda: los primeros hallazgos de Citizen Lab sobre Pegasus fueron en México, hace casi diez años. En 2022, Citizen Lab y R3D confirmaron con análisis forense que el periodista Ricardo Raphael, un periodista de Animal Político y el defensor de derechos humanos Raymundo Ramos fueron infectados con Pegasus entre 2019 y 2021. Documentos internos filtrados después vincularon ese espionaje con una unidad del Ejército. Quien vende spyware sabe que en México ha tenido compradores.

Viene un año electoral. En junio de 2027 hay elecciones intermedias, y una autoridad electoral mexicana ya recibió anuncios de esta operación.

El marco legal es delgado. México no tiene una ley federal de ciberseguridad. Hay iniciativas en el Senado desde abril de 2025 que no se han aprobado. Lo más cercano es la Política General de Ciberseguridad para la Administración Pública Federal, publicada en el DOF el 17 de diciembre de 2025, que obliga solo a las dependencias federales. La protección de datos personales pasó del INAI, extinto en 2025, a la Secretaría Anticorrupción y Buen Gobierno.

Quién puede ser objetivo

Por el patrón del informe y la historia reciente de México, el riesgo es mayor para:

• Activistas y organizaciones que defienden a Palestina y denuncian el genocidio en Gaza, incluidas las mexicanas y los mexicanos que han participado en las flotillas.
• Periodistas y medios de comunicación. El blanco confirmado de esta operación es Al Jazeera, y el informe pide a los medios revisar su seguridad y sus registros.
• Personal de cancillería y diplomacia. Un enlace de infección apuntaba a una red del Ministerio de Relaciones Exteriores de Arabia Saudita.
• Autoridades electorales y equipos de campaña, rumbo a 2027.
• Defensoras y defensores de derechos humanos y políticos de oposición, que en México ya fueron blanco de Pegasus.
• Funcionarios con acceso a información sensible de seguridad, defensa, energía o negociaciones comerciales.
• Personal de infraestructura crítica. El informe registra anuncios en la red de Westinghouse, la empresa nuclear estadounidense.

Qué hacer desde hoy

Citizen Lab es directo: hoy no hay una forma consistentemente segura de exponer a tus usuarios y redes a anuncios dirigidos. La medida más efectiva es bloquearlos. Estas recomendaciones vienen del informe, salvo donde lo indico.

Si tu trabajo te hace un posible objetivo

1. Bloquea anuncios en todos tus dispositivos. Usa una extensión de bloqueo confiable y un navegador que limite el rastreo. En casa, un servicio de bloqueo a nivel de red protege también a los dispositivos de tu familia.
2. Borra o restablece tu identificador publicitario con regularidad. En Android: Configuración, Google, Anuncios, Borrar ID de publicidad. En iPhone: Configuración, Privacidad y seguridad, Rastreo, y desactiva “Permitir que las apps soliciten rastrearte”.
3. Desactiva la personalización de anuncios en cada app que lo permita.
4. Quita de tu teléfono de trabajo las apps y juegos gratuitos con anuncios. El informe no publica una lista de sitios o apps peligrosos, porque el código llega a través del espacio publicitario, y ese espacio aparece en miles de sitios y apps normales. La regla práctica es tener menos anuncios en el dispositivo donde está tu información sensible.
5. Si usas iPhone y tu riesgo es alto, activa el Modo de aislamiento en Configuración, Privacidad y seguridad. Esto no viene del informe; es una función de Apple pensada para personas que pueden ser blanco de spyware.

Si diriges una dependencia, un medio, una autoridad electoral o una organización

1. Exige bloqueo de anuncios en todos los dispositivos institucionales y desactiva los identificadores publicitarios mediante la gestión de dispositivos móviles (MDM).
2. Bloquea anuncios y rastreo en la puerta de enlace de tu red, no solo en cada equipo.
3. Revisa los registros de tu red buscando los dominios que Citizen Lab publicó en el Apéndice C del informe, entre ellos controlium[.]net, powerium[.]net, mtrtb[.]com y cookie-sync[.]xyz. Si aparecen, trátalo como incidente.
4. Revisa qué anuncios carga tu propio sitio web. Un sitio de gobierno o un medio que muestra anuncios de terceros expone a sus propios lectores a este mismo canal. Las páginas de una dependencia pública no deberían cargar publicidad programática.

Si haces política pública

Varias de estas medidas no necesitan esperar una ley.

1. Usar la Política General de Ciberseguridad. La ATDT puede emitir lineamientos que obliguen a las dependencias federales a bloquear anuncios y desactivar identificadores publicitarios en sus dispositivos. Es exactamente lo que Citizen Lab recomienda a los gobiernos.
2. Revisar los registros de las autoridades electorales ahora, antes del proceso de 2027, y hacer público si encuentran algo.
3. Prohibir que cualquier dependencia contrate a empresas de spyware o de manipulación señaladas por Citizen Lab, Forbidden Stories o la lista negra de Estados Unidos, y revisar si alguna tiene contratos vigentes con ellas o con sus intermediarios.
4. Exigir cuentas por la vía diplomática. La SRE puede pedir formalmente al Estado de Israel información sobre las licencias de exportación de estas empresas y su actividad en México, y reiterar la solicitud de extradición de Tomás Zerón.
5. Pedir información a las plataformas. Google, Microsoft (Xandr), Beeswax, Liftoff y Eskimi sirvieron anuncios de Discover-Tech. El Congreso y las autoridades pueden preguntar qué tráfico se mostró a usuarios en México y a qué redes llegó.
6. Acordar con Meta, Google, X y TikTok canales de reporte rápido para 2027, con la obligación de informar públicamente cuando eliminen redes de perfiles falsos dirigidas a México.
7. Aprobar una ley de ciberseguridad con supervisión real. Citizen Lab pide a los legisladores marcos con supervisión obligatoria y sanciones claras. También pide sacar los datos personales de las subastas de publicidad en tiempo real, que es el sistema que hizo posible este ataque.
8. Transparentar las compras de herramientas de vigilancia. Saber qué contrata el Estado y bajo qué control judicial es la base para que esto no se repita con una tecnología nueva.

La investigación sigue abierta

Citizen Lab anunció un informe adicional sobre otro actor que usa la infraestructura de Discover-Tech para vincular identificadores publicitarios con números de teléfono. Actualizaré este artículo cuando salga.

México ya pagó el precio de no actuar con Pegasus: periodistas espiados y un responsable que sigue fuera del alcance de la justicia mexicana. Esta vez hay tiempo para actuar antes de las elecciones.

El informe completo de Citizen Lab está en inglés. Si trabajas en una institución que puede ser objetivo, vale la pena que tu equipo de seguridad lo lea completo esta semana.

Recibe los textos nuevos cuando salgan

Sin calendario fijo y sin plantilla de boletín. Una nota breve cuando haya algo que valga la pena leer, y nada más. No compartimos la lista.

Deja esto vacío Suscribirme