Radiografía del fraude publicitario

El fraude publicitario causa enormes pérdidas económicas a las compañías y afecta también al conjunto de la ciudadanía

A finales de 2025, Reuters reveló un informe interno de Meta en el que la compañía calculaba que el 10% de sus ingresos del año anterior procedían de la publicación de anuncios de estafas y productos prohibidos. Estamos hablando de 16.000 millones de dólares. Un informe anterior de la compañía estadounidense había concluido que se ensañaban a los usuarios de Facebook, Instagram y WhatsApp unos 15.000 millones de anuncios fraudulentos al día, sin que las medidas implementadas para evitarlo fuesen suficientes. Y solo nos estamos refiriendo al entorno de Meta. No estamos contemplando otras redes sociales de uso masivo como TikTok o X, motores de búsqueda como Google o Bing o ecommerce como Amazon o Temu.

La industria criminal del fraude publicitario mueve año tras año una ingente cantidad de dinero. Y no solo hablamos de la publicación de anuncios falsos de plataformas de inversión, casinos online ilegales, productos médicos prohibidos o ecommerce fraudulentos. Muchos actores maliciosos focalizados en el fraude publicitario se enriquecen a través de la generación de tráfico web irreal, cosechando visitas y clics detrás de los que no hay personas reales. ¿Con qué fin? Cobrar por el emplazamiento de anuncios en webs que, en realidad, no son visitadas por nadie.

Si este convulso escenario no fuera ya de por sí preocupante para el conjunto del ecosistema empresarial, la IA está impulsando la capacidad de los grupos delictivos de montar operaciones de fraude publicitario, acelerando su diseño, preparación y ejecución.

A continuación, vamos a hacer una panorámica del fraude publicitario, desde el uso de adwares hasta la creación de botnets dedicadas al fraude publicitario. Además, vamos a destacar el papel que juega la ciberinteligencia en la detección y desmantelamiento de las operaciones maliciosas.

Adware: Una programa no deseado que te inocula publicidad

Un elemento habitualmente presente en las distopías futuristas es la multiplicidad de anuncios publicitarios que les llegan a las personas desde los lugares más insospechados. Las ciudades se vuelven escaparates que muestran un sinfín de anuncios que asolan lugares públicos, pero también hogares. Un adware es una categoría de PUP/PUA (Potentially Unwanted Program/Potentially Unwanted Application) que traslada lo distópico a lo real. Es decir, estamos hablando de un tipo de programa potencialmente no deseado que si resulta ser malicioso entraría en la categoría de spyware.

Un adware puede instalarse en un sistema operativo, como si fuese un programa más, o como una extensión maliciosa en el navegador que usa el usuario. Su función es bombardear con anuncios publicitarios, sin que el usuario sea consciente de cuál es su origen.

¿Cómo llega un adware a un equipo? Lo más habitual es que los usuarios se descarguen software gratuitos o instalen extensiones en sus navegadores que se monetizan, precisamente, gracias a mostrar constantemente anuncios.

A principios de 2026, Microsoft anunció el desmantelamiento de StegoAd, una de las campañas de fraude publicitario más complejas detectadas hasta el momento y que estaba conformada por 119 extensiones maliciosas de Edge, el navegador de la compañía. Se trataban de tipos de extensiones muy comunes: bloqueadores publicitarios (sí, paradójicamente), VPNs, traductores, descargadores de videos, etc. De hecho, los actores maliciosos lograron 2,6 millones de instalaciones de sus extensiones fraudulentas.

Las extensiones funcionaban de forma correcta y solo activan su carga maliciosa hasta pasados varios días desde su instalación, para no levantar sospechas. Además, la actividad maliciosa se llevaba a cabo en dos niveles:

• El visible era el fraude publicitario. Las extensiones sustituían los anuncios de Google AdSense y Amazon por anuncios propios y se apropiaban de las comisiones de afiliados de Amazon, eBay o AliExpress.
• El invisible consistía en el robo de credenciales de los navegadores infectados. De tal forma que los actores maliciosos pudieron acceder a las cuentas de Google o Microsoft de 2,6 millones de usuarios.

Los TV Box y las plataformas de streaming también están en el punto de mira del fraude publicitario

En torno a 40 millones de dólares al año. Esto es lo que ingresaron los actores detrás de Fuyao, un modelo de negocio criminal que usa aplicaciones preinstaladas en TV Box baratos (dispositivos que permiten convertir en Smart tv una televisión que no lo es) para construir una botnet de fraude publicitario, de tal forma que los TV Box infectados puedan actuar de dos modos diferentes en función de si los propietarios están o no usando sus televisiones:

• El modo de fraude publicitario. El dispositivo infectado navega por sitios web controlados por los actores maliciosos, generando tráfico y realizando clics en anuncios. Los bots simulan las características de los teléfonos móviles para superar los controles que impiden que se muestren los anuncios a usuarios que emplean otros dispositivos, ya que generan mayores ingresos publicitarios. Y, además, son capaces de encontrar e interactuar con los contenidos publicitarios con éxito.
• El modo proxy. Si el usuario legítimo de la televisión tiene conectado el TV Box, este funciona como un proxy, reenviando el tráfico de internet de terceros a través de la red doméstica. De tal forma que los actores maliciosos pueden vender las redes domésticas infectadas a otras personas, obteniendo una segunda fuente de ingresos.

El caso de Fuyao es extraordinario por el nivel de ambición de los actores maliciosos. Ya que crearon una compañía para diseñar y comercializar productos que les permitiesen orquestar una operación de fraude publicitario masiva.

Sin embargo, las campañas de fraude publicitario relacionadas con el sector audiovisual no se quedan aquí. De hecho, un estudio estima que hay 4 millones de dispositivos infectados que actúan como parte de botnets para generar tráfico irreal en plataformas de streaming como Youtube o Spotify para obtener ingresos publicitarios, provocando, a la vez, pérdidas millonarias para los anunciantes.

Apps móviles maliciosas que impulsan el fraude publicitario

En los últimos años ha crecido de forma notable el fraude publicitario focalizado en nuestros teléfonos móviles.

Los actores maliciosos desarrollan apps móviles capaces de generar tráfico y clics artificiales sin que los propietarios de los dispositivos infectados se den cuenta.

Por ejemplo, en agosto de 2026 se hizo pública una operación de fraude publicitario conocida como Papyrus, que emplea múltiples aplicaciones para leer novelas desde el móvil para generar subrepticiamente tráfico web desde los navegadores de los móviles donde se hayan instalado.

Los usuarios pueden usar las aplicaciones sin detectar nada sospechoso, pero por debajo, las apps abren webs maliciosas, hacen scroll por ellas, realizan clics e incrementan su engagement.

Papyrus cuenta con más de 800 dominios y 8.000 nombres de host únicos, siendo la mayoría de sus webs páginas sobre juegos o blogs creados con IA generativa. Habida cuenta del nivel de interacción que consiguen, la tasa de éxito del tráfico artificial de Papyrus es mucho más elevada que la del tráfico real, lo que hace que parezca más valioso. De ahí que se estime que Papyrus ha podido llegar a ingresar 1 millón de dólares al mes.

Unos meses antes, Google había desmantelado otra operación de fraude publicitario, Trapdoor, en la que los usuarios descargaban aplicaciones como visualizadores de PDFs que no estaban infectadas. Sin embargo, una vez instaladas, lanzaban pop ups para convencer a los dueños de los móviles de que descargaran otras aplicaciones maliciosas capaces de abrir WebViews ocultas, cargar dominios propiedad de los actores detrás de la operación y solicitar anuncios, generando así cuantiosas ganancias.

Los anuncios falsos en redes sociales: Fraudes financieros y malvertising

Como apuntamos al inicio de este artículo, más allá de la generación de tráfico y clics artificiales, los actores maliciosos detrás del fraude publicitario también ponen en marcha campañas que buscan estafar a los usuarios de redes sociales o buscadores.

Por ejemplo, una clase de anuncios fraudulentos que se ha convertido en una plaga en las redes sociales son los contenidos esponsorizados relacionados con plataformas de inversión y criptomonedas. En muchos casos, los ciberdelincuentes detrás de ellos suplantan la identidad de personalidades famosas y exitosas para engañar a sus víctimas y convencerlas de que inviertan en productos financieros que, en realidad, no existen.

De hecho, un tribunal estadounidense va a juzgar un conflicto entre Andrew Forrest, un magnate de la industria mineral, y Meta relacionado con esta cuestión. Forrest, uno de los hombres más ricos de Australia, demanda a Meta por considerar que es responsable de que durante años hubiese anuncios en Facebook que suplantaban su identidad. Mientras que la compañía estadounidense defiende que estos anuncios falsos no son obra suya y, por ende, no es responsable.

Pero los anuncios que esconden estafas abarcan múltiples campos: desde el cobro de subsidios hasta el alquiler de viviendas. Allí donde los delincuentes ven que el terreno está abonado para que las víctimas caigan y realicen pagos fraudulentos diseñan campañas para conseguirlo.

Junto a los fraudes financieros conviven las campañas de malvertising, que como su nombre indica combinan el fraude publicitario con el despliegue de malwares como infostealers. ¿Con qué fin? Engañar a los usuarios y conseguir que descarguen programas y archivos infectados. El objetivo es tomar el control de los dispositivos infectados, espiar a los usuarios y conseguir información crítica como contraseñas de acceso a software corporativo o a cuentas bancarias online.

El uso malicioso de la IA también está impulsando el fraude publicitario

A estas alturas, ya nadie duda de que la IA está acelerando las capacidades ofensivas de los actores maliciosos en ámbitos como la detección y explotación de vulnerabilidades, el diseño de malware o la ejecución de ataques que se adaptan en tiempo real a las respuestas orquestadas por los equipos de seguridad de sus víctimas.

En lo que respecta al fraude publicitario, el uso de IA permite a los actores maliciosos:

• Desarrollar webs para captar tráfico y generar ingresos publicitarios en menos tiempo y empleando menos recursos.
• Elaborar deepfakes extremadamente creíbles para producir anuncios de estafas.
• Crear botnets que generen tráfico de forma artificial a sus webs y contenidos en redes sociales y plataformas de streaming.
• Lograr que el tráfico artificial pase desapercibido, gracias a que los bots presentan un comportamiento mimético al de los usuarios reales.
• Diseñar adware sin necesidad de disponer de elevados conocimientos técnicos.

No todo son malas noticias, la IA también está siendo empleada ya por las redes sociales y los motores de búsqueda para filtrar anuncios y detectar contenido potencialmente fraudulento. Por ejemplo, Google hizo público que bloqueó o eliminó más de 8.000 millones de anuncios en 2025, de los cuales 600 millones eran anuncios relacionados con estafas. Y todo ello fue posible gracias al uso de IA.

Igualmente, la IA fortalece la capacidad de identificar comportamientos anómalos en el tráfico web de las páginas y descubrir webs falsas creadas única y exclusivamente para generar ingresos publicitarios.

¿Por qué es atractivo el fraude publicitario para los actores maliciosos?

El fraude publicitario es una vía de negocio criminal muy rentable y fácil de monetizar que, además, está focalizada en un mercado, el de la publicidad, en el que en 2026 se invertirán más de 900.000 millones de euros a nivel global.

¿Qué pueden hacer los actores maliciosos para quedarse con parte de ese pastel?

• Ingresar ingentes cantidades de dinero por anuncios que se muestran en sus webs y aplicaciones falsas o que se visionan sustituyendo a anuncios legítimos en ecommerce o plataformas de streaming.
• Ganar dinero a través de los programas de referidos de las principales tiendas online del mundo como Amazon o eBay.
• Robar criptomonedas y conseguir que las víctimas lleven a cabo pagos fraudulentos o faciliten las credenciales para tomar el control de sus cuentas bancarias.
• Acceder a software de vital importancia para ciudadanos y empresas y emplear la información conseguida para venderla en el mercado negro o cometer fraudes financieros.

El fraude publicitario es una amenaza para los ciudadanos, pero también para el ecosistema empresarial

Es evidente que la exposición constante a anuncios fraudulentos en redes sociales y motores de búsqueda aumenta la vulnerabilidad de los usuarios. Además, el uso de nuestros dispositivos en botnets nos expone a otros ataques y lastra el funcionamiento de los equipos que empleamos.

Sin embargo, el fraude publicitario no solo es una amenaza para ciudadanos y hogares, sino que también supone un mayúsculo problema para:

• Las redes sociales, los motores de búsqueda, los grandes ecommerce y las plataformas de streaming. Puesto que son ellos los que comercializan los espacios publicitarios y ejercen de intermediarios entre las empresas que desean anunciarse y sus potenciales clientes. Los anuncios son, al fin y al cabo, una fuente de ingresos indispensable para redes sociales y motores de búsqueda. Si la confianza de los anunciantes en la publicidad digital cae, corren el riesgo de que su modelo de negocio se vea amenazado.
• El sector de la publicidad y el marketing digital. Si la confianza de los clientes en la eficacia de la inversión publicitaria disminuye, las organizaciones que ofrecen estos servicios corren el riesgo de perder clientes e ingresos de forma notable.
• Grandes empresas y personalidades de interés que ven cómo su prestigio se ve menoscabado por culpa de la suplantación de su identidad que llevan a cabo los actores maliciosos para engañar a sus víctimas.
• El conjunto del ecosistema empresarial. La captación de clientes y generación de ventas a través de las redes sociales o los motores de búsqueda es uno de los pilares sobre los que se asientan hoy en día las estrategias comerciales de todo tipo de empresas, no solo de las grandes compañías. Puesto que, hoy en día, las pymes también invierten en publicidad en las redes sociales y en los buscadores. El fraude publicitario conlleva que sus inversiones pierdan valor, habida cuenta de que sus anuncios no llegan a potenciales compradores, sino que se muestran a víctimas de adware o son consumidos por usuarios inexistentes.

La ciberinteligencia es crítica para combatir el fraude publicitario

Habida cuenta del daño que provoca el fraude publicitario en un amplio abanico de actores, ¿cómo se puede luchar frente a las campañas maliciosas? Aquí entra en juego la ciberinteligencia.

Los expertos en ciberinteligencia tienen una amplia experiencia en la investigación, análisis y prevención del fraude digital. Lo que incluye la piratería audiovisual, los fraudes financieros o el fraude publicitario. De tal forma que pueden:

• Hacer un seguimiento continuo del ecosistema del fraude publicitario y conocer las técnicas, tácticas y procedimientos de los actores maliciosos para adecuarse a ellas.
• Detectar en fases tempranas las campañas de fraude publicitario que suplantan a personas de interés o a la identidad de marca de las compañías.
• Contribuir a neutralizar las acciones de fraude publicitario para minimizar su impacto.
• Asesorar a las compañías en la implementación de medidas de prevención y mitigación frente a las campañas de fraude publicitario.
• Analizar el lucro cesante y el perjuicio económico y reputacional de las campañas de fraude publicitario.
• Realizar un análisis estratégico en lo que respecta a las tendencias del fraude publicitario para facilitar la toma de decisiones estratégicas de los actores implicados.
• Sustentar la estrategia judicial frente a los ciberdelincuentes que operan campañas de fraude publicitario.

En definitiva, el fraude publicitario genera enormes beneficios a los actores maliciosos y notables pérdidas económicas y reputacionales a las compañías que comercializan anuncios, a los expertos en marketing digital, a las empresas que invierten en publicidad digital, a las organizaciones y personas que son suplantadas por los ciberdelincuentes y a los ciudadanos que se ven afectados por anuncios fraudulentos o el uso ilegítimo de sus dispositivos.

Por eso, es de vital importancia que todas las compañías que se ven afectadas por el fraude publicitario cuenten con el asesoramiento de expertos en ciberinteligencia que conozcan las estrategias y tecnologías empleadas por los actores maliciosos y puedan articular planes para combatirlas con éxito.