Usuarios de Starlink bajo presunta operación de espionaje por parte de empresa ligada a Israel, informe

Los usuarios de Starlink , quedaron bajo la mira de una posible operación de vigilancia que utilizaba anuncios digitales para rastrearlos, pues la publicidad llegaba a través de las páginas y aplicaciones que abrían mientras navegaban con esa conexión y mientras más avanza Starlink se abre el debate sobre el control de las redes donde millones de usuarios se conectan a internet.

La dirección IP de su conexión permite identificar que utilizan esa red por lo que la plataforma de servicios de ciberseguridad e inteligencia artificial Trend AI, encontró que el actor investigado compraba espacios publicitarios dirigidos a esas conexiones con una frecuencia inusualmente alta, lo que los investigadores interpretaron como un posible interés en rastrear a sus usuarios.

Los anuncios llegaban a través de los sitios y aplicaciones que abrían, sin que esto implicara una intrusión en los satélites o antenas de Starlink, por lo que el hallazgo tampoco demuestra que esos dispositivos recibieran software espía.

Este martes, investigadores de TrendAI, vincularon esa actividad con Discover-Tech, una empresa israelí de tecnología publicitaria, de acuerdo con seis personas familiarizadas con los hallazgos, entre los que aparece México, según el informe técnico publicado por TrendAI el 15 de octubre.

Cómo un anuncio puede convertirse en una herramienta de rastreo

Detrás de un anuncio existe una subasta que ocurre en milisegundos y determina qué publicidad aparece en pantalla.

Durante ese proceso, cuando una persona abre una página o aplicación con publicidad, se realiza una subasta automática para decidir qué anunció mostrarle para que así los compradores reciban información que puede incluir la dirección IP, ubicación e identificadores del dispositivo, por lo que estos datos permiten reconocer un mismo equipo cuando vuelve a aparecer en otros espacios publicitarios y seguir su actividad.

Ese es el mecanismo que, de acuerdo con TrendAI, aprovechaba el actor identificado como Shadow-Earth-79, nombre en clave asignado a una presunta red de ciberespionaje que Reuters vincula con la empresa Discover-Tech.

Los investigadores detectaron que compraba anuncios con una concentración inusual en dispositivos conectados mediante Starlink, cuya red puede identificarse a partir de la dirección IP y de esta forma la publicidad le permitía llegar específicamente a usuarios del servicio satelital y recopilar información sobre ellos.

Discover-Tech aprovechaba ese sistema para colocar anuncios que contenían instrucciones informáticas y al cargarse la publicidad esas instrucciones hacían que el navegador contactara un servidor de la empresa y le enviara identificadores del usuario. Entonces, el servidor decidía si devolvía código adicional para ese dispositivo y así la compañía podía seleccionar a quién dirigir el ataque, de acuerdo con la investigación de la unidad de investigación de Toronto, Citizen Lab.

Luego, la empresa estadounidense de ciberseguridad Confiant, observó que algunos de esos anuncios abrían sin mostrar una nueva ventana al usuario una conexión con infraestructura atribuida a Candiru, proveedor de software espía. El código recopilaba características del equipo y establecía un canal para recibir instrucciones por lo que el anuncio funcionaba como una puerta de entrada: su apariencia comercial ocultaba las conexiones que estaban detrás.

Por otro lado, Citizen Lab, reconstruyó esa secuencia en dispositivos infectados de la cadena de noticias AI Jazeera: primero contactaron la infraestructura publicitaria de Discover-Tech; después, un servidor de Candiru que revisaba el equipo; y al final se comunicaron con servidores utilizados para controlar el software espía. La infección no requería un clic porque el código se ejecutaba al cargarse el anuncio y podía aprovechar las fallas del navegador para instalar el programa.

En el caso de Starlink , TrendAI detectó una compra desproporcionada de anuncios dirigidos a dispositivos conectados mediante ese servicio, patrón que consideró indicativo de posibles fines de rastreo.

México aparece en una investigación sobre posible espionaje a usuarios de Starlink

La firma de seguridad publicitaria Confiant también incluyó a México entre nueve países donde detectó anuncios vinculados con infraestructura atribuida a Candiru, un proveedor de software espía.

En el tráfico de Starlink geolocalizado en México, SHADOW-EARTH-79 concentró 557 de las 833 pujas publicitarias ganadas que observaron los investigadores equivalente al 66.9%, por lo que los registros corresponden a eventos publicitarios no a usuarios únicos ni a un conteo de personas espiadas.

La investigación se conoce mientras Starlink amplía su base de clientes, pues al cierre de septiembre, el servicio alcanzó 13.6 millones de suscriptores de consumo, tras sumar 1.6 millones en tres meses. La división de conectividad de SpaceX, encabezada por esta red satelital, generó ingresos trimestrales por 5,248 millones de dólares, un aumento interanual del 69%, de acuerdo con sus reportes trimestrales.

La presencia de México en los registros permite ubicar actividad relacionada con el país, pero deja pendiente conocer su alcance entre usuarios por lo que las apuestas publicitarias observadas no permiten determinar cuántas personas fueron vigiladas ni acreditar una intrusión en sus dispositivos.

Después de las investigaciones, Google retiró a Discover-Tech de su registro de proveedores y canceló su acceso a sus plataformas de intercambio publicitario. Por su parte, la asociación europea de nivel continental para el ecosistema de publicidad digital y marketing (IAB Europe) eliminó a la compañía de su lista de proveedores.