{"id":29422,"date":"2026-08-20T08:18:57","date_gmt":"2026-08-20T14:18:57","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=29422"},"modified":"2026-08-19T17:28:19","modified_gmt":"2026-08-19T23:28:19","slug":"adform-compromise-malicious-ads-cryptocurrency-theft","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/adform-compromise-malicious-ads-cryptocurrency-theft\/29422\/","title":{"rendered":"Mil millones de impresiones peligrosas: aprendizajes del pirateo de Adform"},"content":{"rendered":"

Adform, una importante plataforma de publicidad, estuvo vulnerada durante aproximadamente 24\u00a0horas desde la tarde del 26 de julio hasta la noche del 27 de julio despu\u00e9s de una vulneraci\u00f3n por parte de atacantes desconocidos. Pocas personas ajenas a la industria reconocen el nombre, pero Adform publica alrededor de 1500\u00a0millones de impresiones de anuncios todos los d\u00edas<\/a> en decenas de miles de sitios web. Eso significa que cualquier persona que visite un sitio que publique anuncios de Adform podr\u00eda haber sido el objetivo.<\/p>\n

Los atacantes no intentaban instalar malware. En cambio, ejecutaban un script en el navegador de la v\u00edctima que revisaba el portapapeles cada tres segundos y, si encontraba que se hab\u00eda copiado la direcci\u00f3n de un monedero de criptomonedas, la cambiaba por la direcci\u00f3n del monedero de los atacantes. Por lo tanto, si alguien ten\u00eda un sitio con el anuncio malicioso abierto en una pesta\u00f1a del navegador y estaba haciendo una transacci\u00f3n de criptomonedas en otra pesta\u00f1a o en una aplicaci\u00f3n especial, es posible que los fondos hayan terminado en los bolsillos de los atacantes. Los propietarios de Adform detectaron el ataque y solucionaron el problema, pero no hay garant\u00eda de que un incidente similar no vuelva a ocurrir, raz\u00f3n por la cual todos los usuarios deben defenderse de la publicidad maliciosa<\/a>. Echa un vistazo a nuestros consejos al final de esta publicaci\u00f3n.<\/p>\n

Lo que sabemos sobre el ataque a Adform<\/h2>\n

No hay mucha informaci\u00f3n disponible, ya que la declaraci\u00f3n oficial de la empresa<\/a> cubre solo qu\u00e9 sucedi\u00f3 y cu\u00e1ndo, sin explicar la causa ra\u00edz del incidente. Algunas investigaciones independientes<\/a> analizaron los detalles t\u00e9cnicos sobre c\u00f3mo se atac\u00f3 a los usuarios comunes, pero nada de eso explica c\u00f3mo se vulner\u00f3 a Adform en primer lugar.<\/p>\n

Lo que est\u00e1 claro es que los atacantes insertaron su propio c\u00f3digo en el JavaScript que se carga en cada sitio que publica anuncios de Adform. Cada vez que se estaba por mostrar un anuncio, el script se cargaba desde el servidor de Adform, seleccionaba el anuncio correcto y lo mostraba, pero los atacantes hab\u00edan agregado un conjunto de funciones maliciosas: controlar el portapapeles, enviar datos sobre el sitio donde ocurri\u00f3 el encuentro y la direcci\u00f3n IP de la v\u00edctima a su propio servidor, e intercambiar las direcciones de los monederos de Bitcoin, Ethereum y Tron.<\/p>\n

Todo lo que se necesit\u00f3 para que funcionara fue tener cualquier sitio con anuncios publicados en Adform abierto en una pesta\u00f1a del navegador. No importaba qu\u00e9 tipo de sitio era, c\u00f3mo se ve\u00eda el anuncio o a qu\u00e9 anunciante pertenec\u00eda. Lo \u00fanico que importaba era si el sitio se ejecutaba a trav\u00e9s de HTTP o HTTPS. Seg\u00fan Adform, el ataque no pudo tener \u00e9xito en sitios cargados a trav\u00e9s de HTTPS, ya que en este caso la conexi\u00f3n con el servidor de los atacantes estaba bloqueada.<\/p>\n

La empresa no comparti\u00f3 informaci\u00f3n sobre cu\u00e1ntos usuarios se vieron afectados o cu\u00e1ntos sitios siguen publicando su contenido y anuncios a trav\u00e9s de HTTP.<\/p>\n

Los anuncios maliciosos son un hecho cotidiano<\/h2>\n

Por desgracia, los anuncios en l\u00ednea peligrosos se convirtieron en un problema sist\u00e9mico. Y no solo estamos hablando de anuncios de suplementos sospechosos o promociones de apuestas: nos referimos a anuncios que distribuyen malware o conducen a sitios dise\u00f1ados para robar informaci\u00f3n de pago y otros datos valiosos. Los atacantes crearon una infraestructura a escala industrial para lograr esto y utilizan varios enfoques diferentes.<\/p>\n