Malvertising en Meta y TikTok: el caso StreamRat y tu protocolo de seguridad en 3 capas

A mediados de 2026, una campaña de una falsa app de streaming compró anuncios en Meta y TikTok y distribuyó el troyano bancario StreamRat a unas 570.950 cuentas europeas — casi todas de usuarios hispanohablantes, con una configuración de targeting centrada en España. Publicada por ThreatFabric el 2 de septiembre, la campaña estuvo activa dentro de la subasta publicitaria de Meta del 11 de junio al 3 de julio antes de ser identificada, y se construyó sobre infraestructura de Malware-as-a-Service vinculada a las familias de troyanos bancarios GodFather y Mirax. El malvertising dejó de ser un problema del "equipo de seguridad". Hoy es un problema de operaciones de paid media — y Q4, cuando el presupuesto y el volumen de revisión suben juntos, es exactamente cuando la industria se descuida.

Qué hizo realmente la campaña StreamRat

ThreatFabric monitoreaba ecosistemas publicitarios en Meta a finales de julio y encontró una campaña que bautizaron "Steamtv Esp.": anuncios que se hacían pasar por un servicio de TV gratuita por streaming, empujando a usuarios hispanohablantes de Android hacia un sitio web de phishing. The Hacker News confirmó los detalles el 2 de septiembre y Malwarebytes sumó la perspectiva para anunciantes al día siguiente. La mecánica importa porque cada paso es algo que un anunciante pudo haber detectado:

1. El anuncio. Banners estándar en el feed de Meta (con el mismo creativo probablemente en Facebook e Instagram) y en TikTok. Falsa urgencia: "streaming gratis", "mira lo que quieras", sin suscripción.
2. La landing page. Un sitio delgado que detecta el sistema operativo del visitante. Los usuarios de Android reciben un botón de descarga de app.apk; el resto, un callejón sin salida. Este patrón de detección de OS es por sí solo una huella confiable de fraude — las apps legítimas de streaming no condicionan su instalación a un script que olfatea el navegador.
3. El dropper. El APK pide convertirse en la app de inicio por defecto del dispositivo y después solicita permiso de VPN. Una vez concedido, la VPN enruta el tráfico del equipo a través de una interfaz no funcional mientras excluye al propio dropper — tunelización invisible, a la vista de cualquiera que lea los diálogos de permisos.
4. El payload. El dropper descarga update_{timestamp}.apk desde releases de GitHub (con actualizaciones diarias del paquete, un patrón que Cleafy documentó en la familia Mirax) e instala StreamRat.
5. El troyano. StreamRat abusa de los servicios de Accessibility y MediaProjection para tomar control casi total del dispositivo: control de pantalla oculto estilo VNC, recolección del árbol de UI, keylogging, overlays que suplantan pantallas bancarias para robar credenciales, y bloqueo de internet y pantalla. Puede literalmente dejarte fuera de tu propio teléfono mientras vacía tus cuentas.

No se publicaron totales de víctimas o dispositivos infectados, y ThreatFabric no atribuyó la campaña a un actor específico. Lo que sí dijeron es lo que ningún anunciante debería ignorar: por el código de su panel de control, StreamRat parece ofrecerse como Malware-as-a-Service. Esto no es un hackeo de una sola vez. Es un canal de ataque productizado que otros criminales pueden alquilar.

Por qué esto es tu problema, no solo el de IT

Tres hechos incómodos convierten al malvertising en un tema de paid media y no en una nota al pie de seguridad:

• Tu audiencia fue el objetivo. 570.950 cuentas alcanzadas con alcance comprado, en la misma subasta donde compran tus campañas. Si el targeting hispanohablante funcionó para Europa, puede repetirse mañana en LatAm; el sitio de phishing fue construido en español desde el primer día.
• La revisión de anuncios no lo detectó. La campaña duró tres semanas (del 11 de junio al 3 de julio) y solo fue identificada a finales de julio por investigación de seguridad — no por la aplicación de políticas de Meta o TikTok. La revisión automatizada es aliada del atacante a este volumen: la defensa tiene que vivir en tu proceso, no en la plataforma.
• Las marcas son suplantadas gratis. La misma mecánica aplica a anuncios falsos con el nombre de tu marca, tus productos o tus creativos — normalmente los mismos días en que corren tus campañas reales. StreamRat es una familia de ataque; la suplantación contra clientes de agencias es la versión cotidiana.

Hay además un ángulo de medición: si una campaña de malvertising golpea tu categoría, los clics falsos, el tráfico bot y los tickets de soporte distorsionan las mismas señales que usa tu optimización. Una "caída de conversiones" en medio de una corrida limpia puede ser un problema de audiencia — o 40.000 usuarios que acaban de perder el control de su teléfono y no están de humor para comprar. Por eso el protocolo de abajo incluye monitoreo, no solo prevención.

El protocolo de seguridad en 3 capas

Este es el marco que aplicamos en Mintec para cada cuenta que gestionamos, y cabe en una tabla:

El orden importa. La capa 1 atrapa el 90% del riesgo porque la mayoría del malvertising es torpe con su destino — la landing de StreamRat era un cascarón de una página que olfateaba el sistema operativo. La capa 2 atrapa las campañas que se vuelven más sofisticadas. La capa 3 existe porque ningún proceso es perfecto, y el costo de una respuesta lenta es la confianza de la audiencia, no solo la inversión publicitaria.

Un matiz que vale la pena decir como opinión: la ventana de mayor riesgo no es la revisión del creativo — es la entrega. Los equipos internos y agencias que aprueban anuncios en un solo paso, contra el reloj y con el cliente esperando, son los que publican destinos que nadie clickeó en un teléfono real. Q4 multiplica esa presión. Un ritual obligatorio de "clickea el link en un dispositivo real antes de lanzar" vale más que cualquier herramienta de seguridad que hayamos probado.

Lo que cambiamos en Mintec por este caso

Gestionamos campañas de Meta y TikTok para clientes en LatAm y el mercado de EE.UU., y esta historia cambió nuestra auditoría de onboarding, no nuestro proceso creativo. Desde la publicación del reporte, cada onboarding de cuenta nueva incluye una pasada de seguridad junto a la revisión estándar de estructura: anuncios históricos y sus destinos, rechazos y violaciones de políticas pasadas, asientos de administrador y assets pendientes, y estado de verificación de dominio. Toma 20 minutos y ya ha sacado a la luz problemas reales — incluido un cliente cuya página tenía un asiento de administrador no reconocido que eliminamos el primer día.

También instauramos una regla dura para Q4: ninguna campaña sale sin una verificación de destino ejecutada en un dispositivo móvil, y nadie publica solo. Esto enlentece el ciclo de lanzamiento unos 15 minutos por campaña. Es el seguro más barato del paid media. El contexto ayuda a venderlo internamente: el mismo trimestre en que la subasta de Meta empezó a cotizar la calidad de la landing page es el trimestre donde el destino también es la superficie de seguridad. El trabajo de calidad de página que haces por el CPM es el mismo trabajo que mata vectores de malvertising.

Dos conexiones más. Primero, la capa de monitoreo solo funciona si tienes el hábito de leer tu espacio competitivo: la Biblioteca de Anuncios de Meta es la mejor herramienta gratuita para detectar páginas suplantadoras temprano — la revisamos semanalmente para cada cliente. Segundo, si corres automatización Advantage+ a escala de temporada alta, recuerda que la automatización hereda tu higiene de cuenta: destinos comprometidos, eventos raros y dominios sin verificar son exactamente los insumos que hacen descomportarse a las campañas dirigidas por máquina. Y en medición, la higiene de señales es la misma disciplina que la seguridad de anuncios — un pico de tráfico sospechoso o una caída repentina en la calidad de atribución merece investigarse como evento de seguridad antes de re-optimizar contra él.

La fecha límite de Q4

Cronograma concreto: antes de que tus campañas de temporada alta empiecen a gastar, (1) ejecuta la auditoría de destino sobre cada URL activa, (2) elimina cualquier asiento de administrador que no reconozcas, (3) agenda el barrido semanal de suplantación en la Biblioteca de Anuncios hasta fin de año, y (4) define quién lidera la respuesta ante incidentes cuando aparezca un anuncio falso — debería ser el líder de medios, no el helpdesk de IT. Nada de esto toma más de una hora en total, y protege lo que el presupuesto de Q4 realmente compra: confianza.

El caso StreamRat no será la última campaña de malvertising en Meta y TikTok. La única variable que los anunciantes controlan es qué tan rápido reacciona su proceso. El nuestro tiene tres capas y un teléfono real en la mano de alguien antes de lanzar — el tuyo debería tener al menos eso.