Batizando os ataques de “AdFection”, os pesquisadores documentaram uma campanha na qual uma empresa de publicidade registrada em Israel teria se conectado a servidores ligados a uma empresa de spyware e infectado dezenas de dispositivos com seu malware invasivo. O Citizen Lab acredita que esta seja a primeira evidência técnica detalhada já tornada pública de um spyware sofisticado infectando dispositivos por meio de anúncios digitais.
Invasões de zero clique são o santo graal dos atacantes e catastróficas para as vítimas, pois podem instalar malware automaticamente nos dispositivos sem exigir qualquer interação ou descuido do alvo. Quando invasores sofisticados empregaram ataques raros de zero clique nos últimos anos, costumavam explorar vulnerabilidades em aplicativos de mensagens e comunicação para infectar vítimas. Mas os atacantes também passaram a explorar a vasta infraestrutura do ecossistema de publicidade online para distribuir malware, às vezes com pouca ou nenhuma interação das vítimas. As evidências da campanha de spyware de zero clique descoberta pelos pesquisadores do Citizen Lab mostram essas duas ameaças se unindo, o que evidencia a extensão e a urgência do risco.
“AdFection permite que operadores invadam automaticamente indivíduos específicos com spyware de mercenários enquanto eles usam aplicativos ou navegam na internet”, afirma Bill Marczak, pesquisador sênior do Citizen Lab. “Alguém que seja invadido dessa forma não veria nada de estranho. Na verdade, pode nem chegar a ver algum anúncio.”
Segundo ele, a situação é tão preocupante porque há pouco que as pessoas podem fazer para se proteger de ataques de zero clique por anúncios, além de bloquear anúncios da forma mais completa possível em todos os sites e plataformas, algo que agências de inteligência como a NSA (Agência de Segurança Nacional dos EUA) e a CIA (Agência Central de Inteligência) parecem conhecer muito bem.
“O risco de ter seu dispositivo infectado por spyware apenas por usar um site ou aplicativo que exibe anúncios é um cenário de pesadelo”, afirma Wolfie Christl, pesquisador sênior do Citizen Lab.
Em 2024 e 2025, o Citizen Lab concluiu que 45 dispositivos pertencentes ao veículo de notícias Al Jazeera foram alvo de ataques de zero clique entregues por anúncios. Os pesquisadores afirmam que os anúncios direcionados foram veiculados pela empresa de marketing de origem israelense Discover-Tech e distribuíram um spyware atribuído à desenvolvedora israelense Candiru. Os dispositivos infectados entraram em contato com domínios ligados à Discover-Tech e depois se conectaram a uma infraestrutura associada à Candiru, segundo a análise do Citizen Lab. (A Al Jazeera, que participou da investigação e compartilhou registros de dispositivos com os pesquisadores do Citizen Lab, não respondeu a um pedido de comentário.)
“A capacidade de enviar conteúdo individualizado e arbitrário a usuários específicos é uma marca do ecossistema moderno de anúncios online e combina perfeitamente com a indústria de spyware de mercenários”, afirma Marczak. “Enquanto essa arquitetura não mudar, ou as empresas de publicidade não levarem a sério a verificação de clientes, continuaremos a ver esse tipo de abuso.”
E-mails e mensagens enviados pela WIRED à Discover-Tech e a seu CEO não obtiveram resposta antes da publicação. A Integrity Partners, que se acredita ser a dona dos ativos da Candiru após sanções impostas pelo governo dos EUA em 2021, também não respondeu aos pedidos de comentário.
O Google, que opera um dos maiores negócios de publicidade do mundo, encerrou o cadastro da Discover-Tech após colaborar com o Citizen Lab e com pesquisadores da empresa de cibersegurança Confiant e confirmar uma ligação com o spyware. “Após uma investigação conjunta com o Citizen Lab e a Confiant, o Google bloqueou a Discover-Tech de nossas plataformas de anúncios por violar sistematicamente nossas políticas”, afirma um porta-voz do Google. “Também configuramos avisos do Safe Browsing para ajudar a proteger as pessoas que acessarem sites ligados a esse grupo.”
O braço europeu do Interactive Advertising Bureau (IAB), entidade do setor publicitário, confirmou à WIRED que suspendeu a Discover-Tech de sua lista global de fornecedores, conhecida como GVL (Global Vendor List). Segundo a entidade, a empresa foi suspensa pela IAB Europe após uma auditoria de suas políticas. “Novas confirmações das descobertas sobre spyware também poderiam justificar uma expulsão definitiva da GVL”, afirma um porta-voz da IAB Europe.
Um porta-voz da Beeswax, empresa do setor de publicidade online pertencente à Comcast, afirma em comunicado: “A Beeswax removeu a Discovery-Tech de nossa plataforma após atividades recentes e validação independente por um especialista em segurança terceirizado. Mantemos uma política de tolerância zero para publicidade maliciosa.”
Muitas vezes, quando você vê anúncios online ou em aplicativos, eles são exibidos após um processo complexo conhecido como leilão em tempo real (real-time bidding), essencialmente um leilão automatizado no qual anunciantes dão lances para mostrar anúncios específicos a você. O processo, que dura milissegundos, pode fazer com que anunciantes coletem enormes volumes de dados sobre seu dispositivo, sua localização e seu histórico de navegação, além de muito mais. Há anos, essa prática é um pesadelo para a privacidade, com corretores de dados obscuros vendendo informações pessoais das pessoas, e órgãos policiais e de segurança e nações hostis comprando esses dados para rastrear ou direcionar pessoas.
Os pesquisadores do Citizen Lab afirmam que a Discover-Tech opera uma plataforma de publicidade, a Controlium, que pode permitir que seus usuários “desanonimizem, criem impressões digitais e infectem automaticamente dispositivos” assim que um anúncio aparece. No total, os pesquisadores estimam que milhões de dispositivos foram direcionados aos servidores da Candiru, onde poderiam ser perfilados. Ao analisar registros de lances publicitários que estavam expostos publicamente no site da Discover-Tech, os pesquisadores afirmam que anúncios ligados à empresa, com tags de script de atacantes, foram exibidos em mais de 70 mil aplicativos móveis e mais de 120 mil sites entre março e junho deste ano. Segundo os pesquisadores, vários aplicativos exibiram mais de um milhão de anúncios ligados à Discover-Tech.
Nem todos os anúncios da empresa foram necessariamente armados para distribuir spyware, mas os pesquisadores afirmam que, em geral, observaram impressões de anúncios da Discover-Tech em redes ligadas a governos e à segurança nacional em todo o mundo. Entre elas estão redes da Otan (Organização do Tratado do Atlântico Norte) e da ONU (Organização das Nações Unidas), além de órgãos legislativos na Europa, provedores de infraestrutura crítica na Austrália e forças armadas e agências governamentais na Noruega e na Suécia.
Campanhas de anúncios direcionados de zero clique que distribuem spyware raramente vieram à tona publicamente. Os pesquisadores do Citizen Lab afirmam, porém, que isso provavelmente é um sintoma de a infraestrutura publicitária ser tão amplamente confiável e incorporada a todos os aspectos da vida digital sem supervisão específica.
“Os registros de rede da Al Jazeera foram essenciais para entender a natureza baseada em anúncios desse ataque”, afirma Marczak. “Se o dispositivo pessoal de um usuário fosse alvo, por exemplo, enquanto ele estivesse conectado ao Wi-Fi de casa ou aos dados móveis, não haveria o mesmo nível de monitoramento de rede. Por isso, acho que a falta de reportagens anteriores se deve principalmente a um problema de visibilidade: os defensores precisam estar no lugar certo, na hora certa, olhando os dados certos.”
Ao falar de forma geral sobre as ameaças que podem decorrer da onipresença do ecossistema de anúncios digitais, Jason Kint, CEO da Digital Content Next, associação comercial do setor de mídia digital (a Condé Nast, empresa-mãe da WIRED, é membro), afirma que esses tipos de ataque são plausíveis e prejudiciais.
“Embora raros e sofisticados, eu não ficaria totalmente surpreso ao saber de ataques de zero clique por meio de anúncios”, afirma Kint. “Qualquer coisa que vá diretamente contra as expectativas dos usuários ou reduza a confiança na web aberta é profundamente preocupante.”
