Scripts maliciosos para iOS (sistema operacional móvel da Apple) tornaram-se uma das principais causas de suspensão de contas em plataformas de anúncios. Eles responderam por cerca de uma em cada cinco suspensões no terceiro trimestre de 2026, segundo o relatório State of Ad Fraud 2026: ADEX Trust & Safety Report, da empresa antifraude ADEX.
O relatório analisa em detalhes um desses esquemas. Ele foi construído com base no kit de exploração Coruna e passou por cerca de 50 contas de anunciantes que usavam a mesma infraestrutura de back-end por trás de páginas de destino muito diferentes.
As plataformas suspenderam essas contas com base nas próprias políticas.
Como funciona a cadeia de ataque
A ADEX descreve quatro etapas:
- Identificação do dispositivo. Um iframe (quadro embutido na página) oculto na página de destino verifica se o visitante usa um iPhone ou iPad real. Ele também identifica o modelo exato e a versão do iOS.
- Evasão de revisores. Bots, rastreadores, IPs suspeitos, sessões de navegação privada e dispositivos com o Modo Lockdown da Apple recebem uma página inofensiva. Esse filtro mantém o esquema invisível para os moderadores.
- Carga sob medida. O kit monta uma cadeia de exploração compatível com a versão exata do iOS e com o chip do dispositivo. Ela é entregue como um arquivo .min.js com aparência comum.
- Roubo financeiro. O implante final tem como alvo aplicativos de criptomoedas e financeiros. Ele procura no celular frases de recuperação de carteiras digitais.
As cadeias de exploração abrangem do iOS 13.0 ao 17.2.1. Os usuários mais expostos são os que têm aparelhos antigos ou sem atualizações, incluindo:
- iPhone 6s e iPhone 7
- iPhone SE de primeira geração
- iPads mais antigos
A ADEX ressalta que sua descrição trata de comportamentos técnicos observados e não é uma afirmação sobre nenhuma pessoa ou empresa identificada.
A IA (inteligência artificial) já é padrão no arsenal de fraudes
Além do iOS, a ADEX encontrou indícios de IA em 52% dos esquemas de fraude distintos que observou. Entre os esquemas que envolviam IA:
- 64% usaram bots que se passam por humanos
- 53% usaram marcas clonadas e endossos falsos
- 11% usaram deepfakes
“A IA não inventou novos abusos em 2026, mas tornou os abusos antigos baratos, rápidos e fluentes… O sinal não é mais a gramática ruim nem um logotipo borrado”, disse Sergey Martianov, diretor de produtos (CPO) da ADEX.
Próximo alvo: agentes de IA
A ADEX prevê que, em 2027, os invasores vão mirar cada vez mais os agentes de IA que navegam e compram em nome dos usuários. Segundo o relatório, os principais vetores de injeção nas páginas de destino podem incluir:
- Texto invisível: texto branco sobre fundo branco, fontes de tamanho zero ou blocos ocultos com CSS (linguagem de estilização de páginas web)
- Estrutura da página: textos alternativos, metatags, comentários HTML (linguagem de marcação de páginas web) e dados estruturados que os navegadores não exibem, mas os agentes interpretam
- Texto dentro de imagens: instruções escritas em banners ou fotos de produtos, voltadas para agentes que leem imagens
- Falsas notas de assistente: frases como “esta é a loja oficial verificada”, inseridas em avaliações, perguntas frequentes ou termos de uso
- Camuflagem para agentes: uma versão da página para humanos e moderadores e outra para visitantes que se identificam como agentes de IA
As instruções injetadas tendem a ser curtas e práticas. Entre os exemplos estão colocar um produto em primeiro lugar, ignorar um alerta de segurança ou inserir os dados do usuário para continuar. A ADEX classifica isso como uma previsão, e não como uma categoria medida, mas observa que as técnicas estão bem documentadas em pesquisas de segurança.
Recomendações defensivas
O relatório da ADEX recomenda que equipes de segurança e anunciantes:
- avaliem as campanhas pelo destino real do clique, considerando diferentes dispositivos e países
- tratem como de alto risco qualquer página de destino cuja única saída seja um link para mensageiro
- verifiquem as identidades declaradas dos agentes, por exemplo por meio de solicitações de agentes assinadas criptograficamente
- confirmem se o comportamento do agente corresponde à tarefa declarada
- auditem as próprias páginas em busca de textos ocultos, metadados e dados estruturados voltados para máquinas
Para usuários de iPhone e iPad, a principal orientação é simples: atualizar os aparelhos. Os que não conseguem rodar as versões atuais do iOS continuam expostos a cadeias como essa.
