Determinar la responsabilidad de las empresas que muestran anuncios en los sitios web que visitamos o que recopilan datos de las aplicaciones móviles que utilizamos a diario puede resultar desalentador. Aunque esta información es semi-pública, su análisis no es sencillo y, tradicionalmente, gran parte de ella ha permanecido restringida en manos de grandes plataformas de publicidad. Sin embargo, esto ha cambiado con el lanzamiento de un nuevo servicio gratuito y poderoso llamado DecryptAds, que permite extraer y correlacionar datos del sector publicitario, facilitando así el acceso a información detallada sobre las entidades que nos rastrean.
DecryptAds ofrece un resumen de las asociaciones publicitarias declaradas por el sitio espn.com. Este servicio, que ha comenzado a operar recientemente a través de decryptads.com, se dedica a extraer constantemente los archivos que los sitios web y aplicaciones hacen públicos para revelar las empresas autorizadas a publicar anuncios o recopilar datos de usuarios. Entre los archivos que se analizan se encuentran: ads.txt, que enumera todas las empresas de tecnología publicitaria y brokers de datos que pueden mostrar anuncios o recopilar datos del sitio; app-ads.txt, que identifica las entidades que pueden recolectar datos o mostrar anuncios en aplicaciones móviles y de televisión inteligente; y buyers.json/sellers.json, que detallan las entidades que compran, venden o revenden inventario publicitario para un sitio o aplicación específica.
Zach Edwards, director de investigación de DecryptAds y experto en amenazas en la empresa de seguridad Infoblox, comentó que él y sus dos cofundadores decidieron crear este servicio porque los datos publicitarios contenidos en estos archivos son generalmente útiles únicamente cuando se pueden cruzar para construir un panorama más completo del ecosistema publicitario de cada sitio o aplicación. Edwards señala que, aunque se trata de una herramienta de tecnología publicitaria, su enfoque está centrado en la seguridad. "Está diseñada para abordar numerosos casos de uso relacionados con la privacidad y la seguridad que han sido notablemente desatendidos", afirmó.
Estos casos de uso incluyen la identificación de la fuente de anuncios maliciosos que intentan introducir malware en usuarios específicos, la detección de redes publicitarias ubicadas en naciones hostiles y la identificación de la creciente proliferación de sitios y aplicaciones generados por inteligencia artificial de baja calidad. Tal como demuestra decryptads.com, estas amenazas potenciales a la seguridad y la privacidad son casi imposibles de detectar al observar un único archivo ads.txt o app-ads.txt.
El sitio explica que "los problemas de integridad de la cadena de suministro raramente residen en un solo archivo". Estos problemas suelen manifestarse como referencias cruzadas rotas entre los archivos ads.txt, app-ads.txt y sellers.json; como conjuntos de declaraciones clonadas en dominios no relacionados; como eliminaciones de vendedores que solo tienen sentido al ser analizadas a través de intercambios; e incluso como rutas de suministro en registros de ofertas que nunca aparecen en la lista de vendedores autorizados de un editor determinado.
Una búsqueda en DecryptAds del popular portal deportivo espn.com revela la existencia de 143 socios publicitarios y 19 dominios de brokers de datos registrados en sus archivos ads.txt y app-ads.txt. Esta información sobre brokers de datos se está haciendo cada vez más accesible gracias a que cuatro estados estadounidenses —California, Oregón, Texas y Vermont— han aprobado recientemente leyes que exigen a los brokers de datos registrarse si compran o venden datos sobre consumidores de esos estados. DecryptAds informa que casi la mitad de estos brokers de datos están recopilando información de geolocalización de los visitantes de espn.com que no tienen bloqueadores de anuncios, mientras que otros tres revelan que recolectan huellas de dispositivos e información personal sensible.
DecryptAds también facilita la identificación de los beneficiarios y las procedencias nacionales de las empresas publicitarias que operan en aplicaciones y sitios web, mostrando advertencias notorias cuando los socios de tecnología publicitaria de una aplicación o sitio están ubicados en "áreas de riesgo geopolítico" como China y Rusia, o en países con fuertes vínculos financieros y políticos con ambas naciones, tales como Chipre y los Emiratos Árabes Unidos (EAU).
Según DecryptAds, espn.com colabora con cuatro entidades publicitarias que están basadas en Rusia, China o los EAU, incluida la firma de tecnología publicitaria Between Digital, que tiene una dirección en Nueva York. Sin embargo, el dossier sobre Between Digital la clasifica como una empresa rusa, mostrando que sus ofertas para editores son procesadas a través de Alfa Bank, el mayor banco comercial privado de Rusia y una de las varias instituciones financieras que fueron objeto de sanciones estadounidenses en 2022 tras la invasión de Ucrania por parte de Rusia. KrebsOnSecurity buscó comentarios tanto de Between Digital como de su fundador, y actualizará esta información en caso de recibir respuesta.
Una búsqueda en varios sitios web de noticias militares estadounidenses de gran relevancia —incluyendo armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com y federaltimes.com— revela que todos ellos permiten a Between Digital mostrar anuncios y rastrear usuarios, así como a dos entidades de los EAU y otra en el paraíso de la opacidad de propiedad, Panamá. DecryptAds informa que Between Digital está recopilando datos publicitarios de aproximadamente 55,000 sitios web asociados.
Analizando el archivo app-ads.txt de Between Digital, se descubren cientos de dominios que contienen juegos simples basados en la web, que son interrumpidos frecuentemente por anuncios. Edwards afirmó que las propias declaraciones de Between Digital muestran que la empresa está registrada tanto como editor como revendedor en aproximadamente dos tercios de su cartera. "Esto significa que, en esencia, están jugando en ambos lados de la ecuación de pujas, lo que crea oportunidades para dirigir el gasto de los clientes hacia sus propiedades operadas o infraestructura de clientes, creando así conflictos de interés", explicó Edwards a KrebsOnSecurity. "El problema que tenemos en este momento es que durante años hemos tenido casi nadie que vigile estos archivos ads.txt y app-ads.txt".
El navegador web Opera sigue siendo bastante popular, y probablemente muchos usuarios desconocen que, desde 2016, ha sido en su mayoría propiedad y controlado por la empresa china Kunlun Tech, aunque la sede operativa de Opera permanece en Oslo, Noruega.
El perfil de Opera.com en DecryptAds identifica a 27 corredores de datos registrados que recopilan información, entre los cuales se incluyen 15 socios de tecnología publicitaria en los Emiratos Árabes Unidos, seis en China, tres en Chipre, dos en Rusia y uno en Hong Kong y Ucrania. Sin embargo, DecryptAds aclara que estas empresas representan solo el siete por ciento de los socios de tecnología publicitaria especificados en los archivos ads.txt y app-ads.txt de Opera.com.
Una de las características de DecryptAds que ha llevado al autor de este artículo a pasar horas investigando es su herramienta de consulta de Dossier Legal, que requiere varios minutos por búsqueda pero finalmente proporciona una gran cantidad de información útil sobre la propiedad de un dominio o aplicación particular, la fecha de su registro y cualquier alias o relación que pueda tener con empresas de tecnología publicitaria y otros sitios web o aplicaciones.
Por ejemplo, el mes pasado, KrebsOnSecurity informó sobre investigadores de Bitsight que descubrieron que una popular línea de dispositivos de streaming de televisión llamada H96 alquilaba de manera silenciosa la conexión a Internet de cada usuario a extraños. Bitsight también reveló que cuando estos dispositivos no se utilizan para transmitir contenido de video pirateado, se hacían pasar por teléfonos móviles que clicaban anuncios en sitios web generados por inteligencia artificial de baja calidad.
Bitsight concluyó que la misma empresa china que desarrolló varias de las aplicaciones maliciosas comunes en estos dispositivos H96, el Grupo Fengwo, también operaba la red de anuncios y los sitios web de baja calidad que eran clicados por decenas de miles de estos dispositivos que pretendían ser teléfonos móviles.
Un dossier legal de DecryptAds sobre el nombre de dominio del Grupo Fengwo (actualmente inactivo) para el sitio web de baja calidad mencionado anteriormente (medicalbeautyhub.com) revela que comparte un ID de vendedor (1674071) con un sitio web de juegos —giacoloredstones[.]com— que presenta otro ID de vendedor (103488000).
Al investigar más sobre este último ID de vendedor, se descubren cientos de sitios web activos dentro del sistema de anuncios de Yandex en Rusia, que presentan juegos de muy baja calidad o utilidades simples que inundan a los visitantes con anuncios.
Edwards, un experto en la materia, señala que cuando las redes publicitarias sospechan que un anunciante está involucrado en clics no auténticos o en la exhibición de anuncios maliciosos, a menudo procederán a eliminar al infractor de su lista de socios aprobados sin notificar a nadie sobre sus sospechas. Esta práctica, según él, facilita que las empresas de tecnología publicitaria poco fiables eviten responsabilidades y continúen perjudicando a otros. Para abordar esta falta de visibilidad, DecryptAds cuenta con un feed de eliminaciones silenciosas que registra y correlaciona todas las eliminaciones de vendedores.json en los intercambios publicitarios para el mismo dominio o nombre de vendedor.
Edwards explica que en la industria de la tecnología publicitaria, es común que alguien redacte un informe sobre el fraude publicitario y solo lo comparta con sus propios clientes, sin hacerlo público. “La prohibición consiste simplemente en eliminar al infractor del archivo sellers.json, pero no se le informa a nadie. Un día estaba allí, al siguiente ya no. Así que si intentas navegar por quién es sospechoso, eso suele ser complicado porque hay muchas empresas de tecnología publicitaria que eliminan cosas al mismo tiempo”.
El malvertising, término utilizado para describir la práctica de insertar anuncios maliciosos que distribuyen malware o redirigen a los visitantes a páginas de phishing, sigue siendo una ocurrencia demasiado frecuente en la moderna industria de la publicidad digital. Sin embargo, Edwards señala que estos anuncios maliciosos se encuentran ahora más comúnmente en sitios web de baja calidad generados por inteligencia artificial que en destinos de alto tráfico, los cuales generalmente emplean una variedad de tecnologías y herramientas de terceros para detectar rápidamente anuncios problemáticos.
“Ninguna de estas granjas de contenido de baja calidad está pagando por ese tipo de protección”, afirma. “Simplemente están firmando con los socios de menor calidad, lo que esencialmente se convierte en una vía fácil para dirigir a los usuarios de esos sitios hacia anuncios maliciosos. La mayoría de los ataques de malvertising no ocurren en espn.com o huffpost.com, sino más bien en alguna granja de contenido de baja calidad y alguien simplemente llegó allí porque apareció en una búsqueda”.
Edwards sostiene que los sitios web de baja calidad generados por inteligencia artificial están poblados con publicaciones y imágenes creadas por máquinas, abordando una amplia variedad de temas que van desde mejoras en el hogar y decoración hasta recetas de cocina, caza, automóviles y tecnología de consumo. También indica que las organizaciones que sufren ataques de anuncios maliciosos a menudo no saben qué hacer a continuación, sin ser conscientes de que en la mayoría de los casos la respuesta se encuentra en alguna de las entidades listadas en el archivo ads.txt o app-ads.txt del sitio web.
“Muchas organizaciones serias están comenzando a entender que si no desglosamos estos datos publicitarios, no sabremos quién está apuntando a personas del gobierno con cargas de malware de un clic casi a diario”, comenta.
Edwards mantiene que para abordar de manera efectiva los problemas de malvertising y de contenido de baja calidad generada por inteligencia artificial se requiere una mayor colaboración y compartición de datos por parte de las principales redes publicitarias. Específicamente, afirma que esas plataformas no comparten de manera amplia lo que se conoce como el "objeto de cadena de suministro" (SCO), un conjunto de datos estructurados adjunto a cada solicitud de puja publicitaria que permite a los compradores ver a cada vendedor, revendedor e intermediario involucrado en la transmisión de una impresión publicitaria desde el editor hasta el comprador final.
“Ese SCO te indica quién lo vendió o revendió, y quién fue la entidad final que compró la impresión que sirvió ese payload de malware”, explica Edwards. “Puedes ver la redirección maliciosa de cero clics, pero sin el objeto de cadena de suministro —que solo se sirve del lado del servidor— no sabrás quién dirigió tu tráfico hacia el malware y no tendrás forma de intentar prevenirlo adecuadamente. Pero si podemos incentivar a la industria de la tecnología publicitaria a exponer ese SCO, será más fácil encontrar al culpable detrás de cualquier anuncio dañino”.
Además, DecryptAds ofrece una interfaz de programación de aplicaciones (API) que permite a los investigadores automatizar consultas e integrar la funcionalidad del sitio en plataformas de inteligencia artificial populares.
La única reacción sensata ante los ejemplos mencionados es bloquear todos los anuncios en línea de forma categórica. Este enfoque es ampliamente respaldado por expertos en ciberseguridad, ya que dificulta considerablemente que las empresas de publicidad digital y los corredores de datos puedan crear perfiles detallados sobre los usuarios y rastrear sus movimientos tanto en la red como en el mundo real.
No obstante, la decisión de implementar bloqueadores de anuncios depende en gran medida de las preferencias personales de navegación y del nivel de confianza que se otorgue a los complementos y extensiones de navegador de terceros. Para aquellos que navegan principalmente a través de un navegador web en un ordenador de sobremesa o portátil, uBlock Origin Lite se presenta como una opción gratuita, de código abierto y bien mantenida. Cabe destacar que uBlock Origin también es compatible con navegadores móviles como Firefox, aunque, al parecer, únicamente en dispositivos basados en Android.
Por su parte, Adblock Plus representa una opción aceptable para usuarios de iPhone y iPad. Para usuarios más avanzados, tanto Adblock como uBlock Origin ofrecen la posibilidad de personalizar reglas de bloqueo mediante easylist.to, un recurso que publica de manera regular una lista actualizada destinada a eliminar la mayoría de los anuncios en las páginas web.
La reconocida extensión de navegador NoScript bloquea todo código Javascript no aprobado y, en general, realiza una labor eficaz a la hora de impedir que la mayoría de los anuncios se carguen. Sin embargo, los bloqueadores de scripts como NoScript pueden no ser la mejor opción para los usuarios menos experimentados que no deseen lidiar constantemente con la gestión de qué scripts deberían permitirse para que cada sitio se visualice correctamente.
Los lectores más técnicos o aventureros deberían considerar seriamente una solución de hardware para bloquear anuncios a nivel de red local, ya que esta es, sin duda, la forma más económica, segura y escalable de hacerlo. Un pequeño y asequible ordenador conocido como Raspberry Pi puede convertirse en un potente bloqueador de anuncios para todos los dispositivos de una red local cuando se le incorpora una tarjeta de memoria microSD y un programa gratuito llamado Pi-hole. Una vez configurado correctamente y modificados los ajustes del router para utilizar los servidores DNS y DHCP de Pi-hole, este debería evitar que los anuncios se muestren en cualquier dispositivo conectado a esa red.
Es importante tener en cuenta que los bloqueadores de anuncios a menudo hacen poco para impedir la publicidad y el rastreo que se producen dentro de las aplicaciones móviles que los usuarios han decidido instalar en sus dispositivos. Muchas páginas web ahora presionan a los usuarios para que instalen una aplicación móvil, supuestamente para acceder y disfrutar plenamente de los servicios y contenidos del sitio. Sin embargo, en mi experiencia, esta estrategia no se debe a que la experiencia del usuario sea significativamente mejor en la aplicación, como LinkedIn intenta convencernos en múltiples ocasiones a la semana a través de correos electrónicos. Por el contrario, encuentro que la mayoría de las aplicaciones móviles están mal diseñadas, son molestas y, en muchos casos, completamente innecesarias. Cuando tengo la opción, casi siempre prefiero interactuar directamente con un sitio web o servicio a través de un navegador.
La dura realidad es que los grandes destinos web tienden a ser insistentes con sus aplicaciones porque les resulta más fácil mantener a los usuarios en sus plataformas durante más tiempo y recopilar, y en muchos casos revender, datos mucho más precisos sobre quiénes son, qué hacen y dónde se encuentran. Además, las empresas que más presionan a los clientes para que instalen aplicaciones móviles parecen optar, de forma liberal, por incluir a todos en el uso de sus datos para entrenar modelos de lenguaje de gran tamaño en la actualidad. Por lo tanto, es fundamental ser cauteloso con las aplicaciones que se instalan en los dispositivos móviles, incluidas las televisores inteligentes, y explorar sus listados en DecryptAds si se desea conocer más sobre sus prácticas de privacidad y cualquier relación que puedan tener con empresas de tecnología publicitaria.