Citizen Lab detalha spyware zero-click 'AdFection' entregue via anúncios online

Pesquisadores do Citizen Lab publicaram um relatório detalhando uma técnica que eles chamam de "AdFection", que descrevem como a primeira confirmação pública de spyware mercenário zero-click entregue via anúncios online direcionados. O relatório, publicado em 15 de outubro de 2026, identifica uma empresa israelense, a Discover-Tech, como facilitadora desses ataques, que infectaram dispositivos da rede de notícias Al Jazeera com spyware da Candiru.

Como o AdFection funciona

De acordo com o Citizen Lab, o ataque explora a infraestrutura de leilão em tempo real (RTB) do ecossistema de publicidade online. Quando um usuário visita um site ou usa um aplicativo, ocorre um leilão de anúncios. Se a Discover-Tech vencer o leilão, um anúncio é exibido no dispositivo. O anúncio contém um script que se conecta a um servidor da Discover-Tech, referido como "servidor NOAS".

Este servidor analisa o endereço IP do usuário e os identificadores de publicidade. Se o usuário for um alvo, o servidor retorna código JavaScript. "O servidor NOAS decide, aparentemente com base em uma combinação do endereço IP de origem e dos identificadores de publicidade, se o alvo é elegível para receber qualquer JavaScript", afirma o relatório. Este código pode então carregar scripts adicionais, potencialmente levando a uma exploração do navegador e à instalação de spyware. A infecção ocorre sem que o usuário clique no anúncio ou baixe um arquivo.

Discover-Tech e Controlium

O Citizen Lab identifica a Discover-Tech como uma ponte entre a indústria de publicidade e os fornecedores de spyware mercenário. A empresa opera uma plataforma chamada Controlium, que permite aos parceiros "desanonimizar, criar impressões digitais e infectar automaticamente dispositivos no momento em que um anúncio é renderizado". O relatório observa que a Discover-Tech aparecia em listas de fornecedores "certificados" e "aprovados" mantidas pelo Google e pela IAB Europe até o início de outubro de 2026.

A investigação revelou que a Discover-Tech trabalhou com vários fornecedores de vigilância, incluindo Candiru (renomeada como Integrity Labs), Bindecy e Intelos. A Candiru foi colocada na lista negra pelo governo dos EUA em 2021. "A Discover-Tech aproveitou o ecossistema de publicidade por anos para transformar sites confiáveis e aplicativos populares em uma plataforma de entrega de spyware zero-click", disse Bill Marczak, pesquisador sênior do Citizen Lab.

Escala e alvos

A análise de quatro bilhões de registros de lances da Discover-Tech mostrou que, entre março e junho de 2026, os anúncios da empresa foram exibidos em quase 200.000 sites únicos e aplicativos Android/iOS. Os anúncios alcançaram redes associadas à OTAN, às Nações Unidas, à Comissão Europeia e a diversas agências governamentais. Embora o Citizen Lab tenha confirmado infecções na Al Jazeera, observou que outras organizações podem ter sido apenas perfiladas, em vez de infectadas.

"O risco de ter seu dispositivo infectado com spyware simplesmente por usar um site ou aplicativo que exibe anúncios é um cenário de pesadelo", disse Wolfie Christl, pesquisador sênior do Citizen Lab. O relatório destaca que os anúncios da Discover-Tech apareceram em grandes plataformas, incluindo Yahoo, BBC e The New York Times, bem como em aplicativos como Duolingo e Grindr.

Resposta da indústria

Após a investigação, grandes fornecedores de anúncios tomaram medidas. O Google encerrou o acesso da Discover-Tech às suas plataformas de troca de anúncios. "Após uma investigação conjunta com o Citizen Lab e a Confiant, o Google bloqueou a Discover-Tech de nossas plataformas de anúncios por violar sistematicamente nossas políticas", disse um porta-voz do Google. A IAB Europe suspendeu a Discover-Tech de sua Lista Global de Fornecedores, e a Beeswax removeu a empresa de sua plataforma.

Por que isso importa

O relatório AdFection demonstra uma mudança significativa no cenário de ameaças para a privacidade e segurança digital. Ao transformar a infraestrutura onipresente e confiável da publicidade online em arma, os fornecedores de spyware podem mirar indivíduos com uma furtividade sem precedentes. A falta de interação do usuário necessária para a infecção torna o treinamento tradicional de conscientização de segurança ineficaz. O incidente destaca falhas estruturais nos processos de verificação da indústria de ad-tech, pois a Discover-Tech operou dentro de ecossistemas de fornecedores aprovados por anos enquanto facilitava a espionagem. Isso levanta questões urgentes sobre a segurança da web aberta e a necessidade de uma supervisão regulatória mais rigorosa dos intermediários de ad-tech.

Fontes (em inglês)

• citizenlab.ca: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware - The Citizen Lab
• wired.com: ‘Nightmare Scenario’: Zero-Click Spyware Is Infecting Phones via Targeted Ads | WIRED
• ft.com: New ‘zero-click’ spyware hacked phones using targeted ads
• shattered.io: Zero-Click Spyware Ads: Citizen Lab's AdFection Report
• finance.biggo.com: Zero-Click Spyware Delivered Through Online Ads Infected Al Jazeera Devices, Researchers Say — BigGo Finance
• gigazine.net: A zero-click attack called 'AdFection,' which infects users with spyware simply by displaying online advertisements, has been confirmed. What was the attack method used by the Israeli advertising company? - GIGAZINE

Tradução feita com IA do artigo original em inglês, revisada automaticamente para dizer o mesmo que o original. As fontes foram verificadas em inglês.