DecryptAds: un servicio gratuito para saber quién te rastrea en la web

¿Alguna vez te has preguntado quién está detrás de los anuncios que ves o de los datos que recopilan las apps que usas? Esa información está semipública, pero dispersa en archivos técnicos que casi nadie consulta. Un nuevo servicio gratuito llamado DecryptAds se dedica a rastrear y cruzar esos datos para que cualquiera pueda saber, en unos segundos, qué empresas están detrás del rastreo en una web o app concreta.

La herramienta, lanzada recientemente, se apoya en archivos como ads.txt, app-ads.txt y sellers.json, que los sitios publican para declarar qué empresas pueden mostrar anuncios o recopilar datos. El problema, según Zach Edwards, director de investigación de DecryptAds y analista de amenazas en Infoblox, es que esos archivos por separado no cuentan la historia completa. "Los problemas de integridad de la cadena de suministro rara vez viven en un solo archivo", explica el sitio. "Aparecen como referencias cruzadas rotas, clonaciones de declaraciones entre dominios no relacionados o eliminaciones de vendedores que solo tienen sentido al compararlas entre exchanges".

Edwards, que fundó el servicio con otros dos socios, lo define como "una herramienta adtech, pero desde una perspectiva de seguridad". Entre los casos de uso que menciona: rastrear el origen de anuncios maliciosos, identificar redes de anuncios en países hostiles y detectar la creciente ola de webs basura generadas por IA.

Un ejemplo: espn.com

Una búsqueda en DecryptAds para espn.com muestra 143 socios publicitarios y 19 corredores de datos registrados en sus archivos. Casi la mitad de esos corredores recopilan datos de geolocalización de los visitantes que no bloquean anuncios, y tres más admiten recoger huellas de dispositivo e información personal sensible.

La herramienta también avisa cuando un socio publicitario está en zonas de "riesgo geopolítico", como Rusia, China o Emiratos Árabes Unidos. Según DecryptAds, espn.com trabaja con cuatro entidades con sede en esos países. Una de ellas, Between Digital, figura con dirección en Nueva York pero el servicio la marca como empresa rusa que procesa sus ofertas a través de Alfa Bank, uno de los bancos rusos sancionados por EE. UU. en 2022.

Lo curioso es que varios sitios de noticias militares de EE. UU. (armytimes.com, defensenews.com, etc.) también permiten a Between Digital servir anuncios y rastrear usuarios. Edwards señala que Between Digital actúa como editor y revendedor en dos tercios de su cartera, lo que "crea oportunidades para dirigir el gasto de los clientes hacia sus propias propiedades, generando conflictos de interés".

Eliminaciones silenciosas y anuncios maliciosos

Otra función interesante es el feed de "eliminaciones silenciosas": cuando una red publicitaria sospecha de un socio, a veces lo retira de su sellers.json sin avisar a nadie. Edwards explica que así es fácil que los tramposos sigan operando. "Un día estaba, al siguiente desapareció", dice. DecryptAds registra esos cambios para que los investigadores puedan verlos.

En cuanto a los anuncios maliciosos, Edwards asegura que ahora abundan más en las granjas de contenido generado por IA que en sitios de alto tráfico. "Ninguna de esas granjas de contenido paga por protección", afirma. "Se registran con los socios de menor calidad y se convierten en un carril directo para atacar a los usuarios con anuncios maliciosos".

Qué puedes hacer

La reacción más sensata ante todo esto, según los expertos, es bloquear los anuncios por completo. No solo evitas el rastreo, sino que reduces el incentivo para que exista esta industria opaca. DecryptAds, además, ofrece una API para que los investigadores automaticen consultas.

La cuestión de fondo es que la industria publicitaria ha funcionado durante años sin una supervisión real de estos archivos. Ahora, herramientas como esta ponen al descubierto lo que siempre estuvo ahí, pero era difícil de ver. Queda por ver si los grandes actores del sector se animan a compartir más datos, como el "supply chain object", que permitiría rastrear con precisión quién está detrás de cada anuncio malicioso. Mientras tanto, la información ya está al alcance de cualquiera.