{"id":32378,"date":"2026-08-17T15:34:54","date_gmt":"2026-08-17T13:34:54","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=32378"},"modified":"2026-08-17T15:36:52","modified_gmt":"2026-08-17T13:36:52","slug":"adform-compromise-malicious-ads-cryptocurrency-theft","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/adform-compromise-malicious-ads-cryptocurrency-theft\/32378\/","title":{"rendered":"Mil millones de impresiones en riesgo: lo que nos ense\u00f1a el ataque a Adform"},"content":{"rendered":"

Adform, una importante plataforma publicitaria, permaneci\u00f3 vulnerable durante aproximadamente 24 horas desde la tarde del 26 de julio hasta la noche del 27 de julio, tras sufrir un ataque por parte de unos atacantes desconocidos. Pocas personas ajenas a la industria reconocen el nombre, pero Adform sirve alrededor de 1500 millones de impresiones publicitarias todos los d\u00edas<\/a> en decenas de miles de sitios web. Esto significa que cualquier persona que visitara un sitio web en el que se mostraran anuncios de Adform podr\u00eda haber sido objeto de un ataque.<\/p>\n

Los atacantes no intentaban instalar malware. En su lugar, ejecutaban un script en el navegador de la v\u00edctima que comprobaba el portapapeles cada tres segundos y, si detectaba que se hab\u00eda copiado la direcci\u00f3n de un monedero de criptomonedas, la sustitu\u00eda por la direcci\u00f3n del propio monedero de los atacantes.
\nAs\u00ed pues, si alguien ten\u00eda abierta una p\u00e1gina con el anuncio malicioso en una pesta\u00f1a del navegador y estaba realizando una transacci\u00f3n de criptomonedas en otra pesta\u00f1a o en una aplicaci\u00f3n espec\u00edfica, los fondos podr\u00edan haber acabado en los bolsillos de los atacantes.
\nLos propietarios de Adform detectaron el ataque y solucionaron el problema, pero no hay garant\u00eda de que un incidente similar no vuelva a ocurrir, raz\u00f3n por la cual todos los usuarios deben defenderse de la publicidad maliciosa<\/a>. Echa un vistazo a nuestros consejos al final de esta entrada.<\/p>\n

Lo que sabemos sobre el ataque a Adform<\/h2>\n

No hay mucha informaci\u00f3n disponible, ya que la declaraci\u00f3n oficial de la empresa<\/a> cubre solo qu\u00e9 sucedi\u00f3 y cu\u00e1ndo, sin explicar la causa ra\u00edz del incidente. Algunas investigaciones independientes<\/a> analizaron los detalles t\u00e9cnicos sobre c\u00f3mo se atac\u00f3 a los usuarios comunes, pero nada de eso explica c\u00f3mo han vulnerado a Adform en primer lugar.<\/p>\n

Lo que est\u00e1 claro es que los atacantes introdujeron su propio c\u00f3digo en el JavaScript que se cargaba en todos los sitios web que mostraban anuncios de Adform. Cada vez que estaba a punto de mostrarse un anuncio, el script se cargaba desde el servidor de Adform, seleccionaba el anuncio adecuado y lo mostraba, pero los atacantes hab\u00edan a\u00f1adido un conjunto de funciones maliciosas: supervisar el portapapeles, enviar datos sobre el sitio web en el que se produc\u00eda el encuentro y la direcci\u00f3n IP de la v\u00edctima a su propio servidor, y sustituir las direcciones de los monederos de Bitcoin, Ethereum y Tron.<\/p>\n

Para que funcionara, bastaba con tener abierta en una pesta\u00f1a del navegador cualquier p\u00e1gina web con anuncios servidos por Adform. No importaba qu\u00e9 tipo de p\u00e1gina fuera, qu\u00e9 aspecto tuviera el anuncio ni a qu\u00e9 anunciante perteneciera. Lo \u00fanico que importaba era si la p\u00e1gina se ejecutaba a trav\u00e9s de HTTP o HTTPS. Seg\u00fan Adform, el ataque no pod\u00eda tener \u00e9xito en una p\u00e1gina cargada a trav\u00e9s de HTTPS, ya que, en ese caso, la conexi\u00f3n con el servidor de los atacantes quedaba bloqueada.<\/p>\n

La empresa no ha compartido informaci\u00f3n sobre cu\u00e1ntos usuarios se vieron afectados o cu\u00e1ntos sitios siguen publicando su contenido y anuncios a trav\u00e9s de HTTP.<\/p>\n

Los anuncios maliciosos son algo habitual<\/h2>\n

Por desgracia, los anuncios peligrosos en Internet se han convertido en un problema sist\u00e9mico. Y no nos referimos \u00fanicamente a anuncios sospechosos de suplementos o promociones de juegos de azar, sino a anuncios que difunden malware o redirigen a sitios web dise\u00f1ados para robar datos de pago y otra informaci\u00f3n valiosa. Los atacantes han creado una infraestructura a escala industrial para llevar a cabo estas actividades y utilizan diversos m\u00e9todos.<\/p>\n