A indústria de publicidade online, já criticada por suas práticas de coleta de dados, enfrenta novas acusações que elevam o nível de preocupação com a privacidade e segurança digital. Pesquisadores do Citizen Lab revelaram o que consideram o primeiro caso publicamente confirmado de um ataque de spyware mercenário de "zero-click" – que não requer interação do usuário – entregue por meio de anúncios direcionados. Dispositivos pertencentes à rede de notícias Al Jazeera estão entre os alvos identificados nesta operação, que transforma redes de publicidade em vetores de infecção.
O Mecanismo "AdFection"
A técnica, denominada "AdFection", permite que a simples abertura de um site ou aplicativo seja suficiente para disparar o ataque, sem a necessidade de clicar em links suspeitos ou baixar arquivos. A empresa israelense Discover-Tech é apontada como a principal responsável por essa operação, atuando como um elo entre o setor de publicidade online e diversos fornecedores de spyware e ferramentas de hacking. O relatório do Citizen Lab sugere que a Discover-Tech "parece ser uma fachada para o abuso em larga escala de espionagem publicitária", com a plataforma Controlium explorando o sistema de lances em tempo real (RTB) para identificar alvos específicos com base em dados de dispositivo e localização. A empresa Candiru, agora conhecida como Integrity Labs, é uma das fornecedoras de spyware ligadas a essa operação, com ataques rastreados contra ao menos 45 dispositivos da Al Jazeera entre 2024 e 2025.
Falhas no Ecossistema de Adtech
Um aspecto particularmente alarmante da operação é que a Discover-Tech não precisou infiltrar o sistema de publicidade de forma clandestina. Desde 2020, a empresa figurava nas listas de fornecedores aprovados do Google e da IAB Europe, o que lhe conferia acesso privilegiado às redes de anúncios. Essa aprovação, aparentemente concedida sem o conhecimento de suas atividades ilícitas, permitiu que a Discover-Tech operasse dentro de um ecossistema supostamente seguro e verificado por anos. Os pesquisadores analisaram quase quatro bilhões de registros de lances de anúncios e encontraram anúncios da Discover-Tech em mais de 70.000 aplicativos móveis e 120.000 websites entre março e junho de 2026. Embora não haja evidências de infecção em redes governamentais, de defesa ou da OTAN, os anúncios poderiam ser usados para perfilar dispositivos nessas redes.
Implicações e Ações de Resposta
As descobertas do Citizen Lab expõem falhas estruturais significativas na indústria de publicidade online, que permitiu que uma empresa com ligações a operadores de vigilância comercial operasse livremente em seu ecossistema. Em resposta às revelações, o Google encerrou o acesso da Discover-Tech às suas plataformas de anúncios e a removeu de suas listas de fornecedores aprovados. A IAB Europe, assim como outras empresas como Beeswax, Vungle e Eskimi, também tomaram medidas. A Discover-Tech e a Candiru não comentaram as acusações até o momento. O abuso em massa, a invasão de privacidade e a facilitação de ataques de spyware mercenário pela Discover-Tech demonstram falhas sistêmicas que o sistema de publicidade online não conseguiu detectar ou prevenir.
Perguntas em Aberto
A investigação levanta questões cruciais sobre a responsabilidade das plataformas de publicidade na validação de seus parceiros e na prevenção de abusos. Como um ecossistema que movimenta bilhões de dólares pode garantir que suas ferramentas não sejam cooptadas para fins maliciosos? A aprovação de fornecedores é rigorosa o suficiente para impedir que empresas com intenções duvidosas obtenham acesso? A transparência nas cadeias de suprimentos de adtech é um desafio complexo, e a capacidade de identificar e mitigar riscos como os apresentados pela Discover-Tech continuará a ser um teste para a indústria. A relação entre adtech, spyware e a vigilância em massa é um campo em evolução, exigindo vigilância constante e mecanismos de controle mais robustos.
A descoberta do "AdFection" demonstra que, para alguns atores do mercado, o interesse vai muito além dos hábitos de consumo dos usuários, adentrando o domínio da espionagem digital com ferramentas aprovadas pelo próprio sistema que deveria protegê-los. Com reportagem de Brazil Valley
Source · The Register
