Mientras navegas por tu feed, un banner ya te ha "vendido" a varios intermediarios; nace un servicio que lo demuestra

La publicidad dejó hace tiempo de limitarse a elegir qué banner mostrar a un visitante de un sitio web. A través de la infraestructura publicitaria, las empresas pueden obtener información sobre el dispositivo, los intereses e incluso la ubicación de una persona, y hasta ahora ha sido muy difícil averiguar exactamente a quién se envían esos datos. El nuevo servicio DecryptAds reunió información dispersa en una base unificada y permite ver las conexiones ocultas entre sitios, aplicaciones, plataformas publicitarias y corredores de datos.

Los creadores de DecryptAds quieren simplificar el análisis del ecosistema publicitario, que antes había que estudiar por archivos técnicos separados. El usuario puede indicar un sitio, una aplicación, una empresa publicitaria, un dominio o una dirección IP y ver qué intermediarios participan en la colocación de anuncios y en qué otros lugares operan las mismas organizaciones.

El servicio presta especial atención a las subastas publicitarias en tiempo real. En ese esquema, las empresas publicitarias compiten automáticamente por la posibilidad de mostrar un anuncio a un usuario concreto. Al mismo tiempo, los participantes en las subastas obtienen datos técnicos sobre el visitante y su dispositivo. En casos concretos, el conjunto de datos incluye la ubicación exacta de la persona.

DecryptAds analiza los archivos ads.txt y app-ads.txt, en los que los sitios y las aplicaciones indican las plataformas publicitarias conectadas. El servicio también recopila sellers.json, donde las bolsas publicitarias publican información sobre las empresas asociadas. Por separado, esos archivos están disponibles para cualquiera, pero comparar la información de un gran número de sitios y organizaciones sin herramientas especiales resulta difícil.

La escala de la base ya se mide en cientos de millones de registros. Al momento de la publicación, los creadores de DecryptAds informaron de 284 250 766 archivos ads.txt, 183 939 277 archivos app-ads.txt y 201 389 256 archivos sellers.json. El servicio también rastrea los cambios en sellers.json. Ese análisis puede mostrar, por ejemplo, que a un editor o desarrollador de una aplicación se le han excluido simultáneamente varias plataformas publicitarias.

Los creadores añadieron a los datos una evaluación adicional de los riesgos geográficos. El sistema marca a las empresas publicitarias vinculadas con estados bajo sanciones, países que las autoridades de EE. UU. consideran adversarios, así como jurisdicciones conocidas por su elevado secreto financiero. Entre los ejemplos figuran Rusia, Bielorrusia, Irán, China, Hong Kong, Chipre y las Islas Vírgenes Británicas.

Esa marca por sí sola no significa que la empresa recopile datos ilegalmente o participe en actividades maliciosas. Los desarrolladores proponen usar la evaluación como motivo para estudiar con más atención a los propietarios del negocio, las relaciones asociativas, las políticas de diligencia del cliente y las posibles conexiones con otras empresas del mercado publicitario.

El valor práctico de ese tipo de análisis quedó de manifiesto en un incidente reciente con la empresa publicitaria Adform. En julio, los atacantes insertaron código malicioso que podía sustituir direcciones de billeteras de criptomonedas mientras se navegaba por los sitios. De ese modo, los delincuentes intentaron aprovechar la infraestructura publicitaria como canal de acceso a sesiones activas de usuarios y redirigir transferencias a sus propias billeteras.

Según DecryptAds, Adform figura en casi 20 000 sitios en archivos ads.txt o app-ads.txt.

Los desarrolladores de DecryptAds planean ampliar la base y añadir más contexto sobre las conexiones dentro de la industria publicitaria. El objetivo principal del proyecto es ayudar a usuarios, periodistas y especialistas en seguridad a entender más rápido qué empresas reciben datos al mostrar publicidad y hasta qué punto puede propagarse la información tras una visita habitual a un sitio.