Nuove indagini del Citizen Lab rivelano come la piattaforma pubblicitaria Discover-Tech sia stata utilizzata per veicolare spyware di Candiru tramite attacchi 'zero-click', compromettendo dispositivi senza interazione utente. L'operazione ha colpito anche Al Jazeera.
Una recente e approfondita analisi condotta dal Citizen Lab dell'Università di Toronto, ora arricchita da nuove fonti, ha gettato nuova luce su una sofisticata minaccia di spyware mercenario, denominata AdFection. Questa forma di attacco si distingue per il suo innovativo vettore di infezione: la pubblicità online mirata. A differenza delle tradizionali minacce informatiche che spesso richiedono un'azione diretta da parte dell'utente, come il clic su un link malevolo, AdFection è in grado di compromettere i dispositivi in modalità "zero-click", bypassando la necessità di qualsiasi interazione da parte della vittima.
Le nuove evidenze rafforzano il ruolo centrale della società israeliana Discover-Tech nell'operazione AdFection. Pur presentandosi come un attore legittimo nel settore della pubblicità digitale, le indagini indicano che Discover-Tech opera come un intermediario cruciale per diversi fornitori di spyware mercenario. Tra questi, emerge con forza il nome di Candiru, un'azienda già nota per le sue attività nel campo della sorveglianza digitale. Le campagne pubblicitarie gestite dalla piattaforma MyDSP di Discover-Tech, secondo i dati analizzati, hanno effettuato quasi 3,77 miliardi di offerte per impression pubblicitarie tra marzo e giugno 2026, vincendone circa 442 milioni. Queste pubblicità sono apparse su oltre 120.000 siti web e 70.000 applicazioni mobili, esponendo potenzialmente centinaia di milioni di persone alla sua infrastruttura di tracciamento.
È importante sottolineare la distinzione tra esposizione e infezione: la maggior parte delle pubblicità non ha necessariamente veicolato spyware, e la semplice visualizzazione non prova una compromissione. Tuttavia, il sistema ha fornito a Discover-Tech la capacità di profilare utenti su larga scala e selezionare dispositivi specifici per operazioni più intrusive.
Le nuove fonti confermano inoltre i legami di Discover-Tech con altre entità nel settore della sorveglianza, tra cui Bindecy e Intelos, suggerendo che l'infrastruttura di Discover-Tech servisse più di un cliente. In particolare, Candiru è stata inserita nella Entity List del governo statunitense nel 2021 e, secondo le ricerche, ha operato sotto il nome di Integrity Labs. Le nuove indagini hanno ulteriormente illuminato l'attività di un'entità misteriosa denominata DARK CARTOGRAPHER. Questa entità sembra sfruttare l'infrastruttura di Discover-Tech per colpire vulnerabilità in diverse compagnie telefoniche. L'obiettivo di DARK CARTOGRAPHER sarebbe quello di associare gli identificativi pubblicitari dei dispositivi ai numeri di telefono, consentendo una massiccia de-anonimizzazione degli utenti. La scoperta è particolarmente inquietante a causa del collegamento tra DARK CARTOGRAPHER, un fornitore di tecnologia pubblicitaria mercenario e un appaltatore del governo statunitense, un'intersezione rara e significativa.
La caratteristica distintiva di AdFection risiede nella sua capacità di operare senza richiedere alcun clic da parte dell'utente. Questo tipo di attacco "zero-click" sfrutta vulnerabilità intrinseche nel modo in cui browser e applicazioni gestiscono il caricamento dei contenuti pubblicitari. Una volta che una pubblicità viene visualizzata sullo schermo, il dispositivo della vittima viene indotto a comunicare con server malevoli, facilitando l'installazione dello spyware. Le nuove fonti confermano che il codice malevolo si attivava non appena l'annuncio veniva caricato, e in alcuni casi, l'annuncio poteva caricarsi in background, rendendo l'infezione ancora più subdola.
Il Citizen Lab ha evidenziato come questo meccanismo sia reso possibile dalle attuali dinamiche dell'ecosistema pubblicitario digitale. Aziende come Google, pur essendo attori principali nel settore, potrebbero involontariamente facilitare queste operazioni. La ricerca ha rivelato che Discover-Tech era presente nelle liste di fornitori "certificati" e "approvati" di Google e dell'associazione di settore IAB Europe per anni, nonostante i legami con individui e aziende associate all'industria della sorveglianza. A seguito della pubblicazione del report, Google ha rimosso Discover-Tech dai propri registri e interrotto il suo accesso alle piattaforme pubblicitarie, mentre IAB Europe ha fatto lo stesso con la sua lista globale di fornitori. Anche Beeswax ha rimosso l'azienda dalla sua piattaforma, Vungle (operata da Liftoff) ha sospeso il suo accesso in attesa di revisione, ed Eskimi ha bloccato i suoi account e domini. Google ha dichiarato di aver rimosso Discover-Tech per "violazione sistematica delle policy".
Queste azioni sono significative, ma non risolvono il problema di fondo. L'industria pubblicitaria si basa su complesse catene di acquirenti, scambi, editori e script di terze parti, spesso con una visibilità limitata su ciò che ogni componente fa durante il caricamento di una pubblicità. Un'azienda può superare i controlli di routine utilizzando regole di targeting per fornire codice diverso a utenti diversi, rendendo il comportamento malevolo più difficile da rilevare tramite scansioni automatiche. Le nuove fonti tecniche indicano che la piattaforma Controlium di Discover-Tech permetteva ai clienti di specificare identificativi target come indirizzi IP o ID pubblicitari mobili. Discover-Tech acquistava poi spazi pubblicitari tramite grandi player come Google, Yandex, Beeswax e Vungle, continuando a fare offerte finché l'annuncio non raggiungeva il dispositivo prescelto. Una volta caricato, il codice JavaScript incorporato contattava un server Discover-Tech chiamato NOAS. La maggior parte dei dispositivi riceveva solo codice per la raccolta di informazioni basilari, come cookie e indirizzo IP. Tuttavia, i dispositivi selezionati per un attacco potevano essere reindirizzati a un server di validazione Candiru, che verificava la corrispondenza con il target e la disponibilità di exploit. Questo processo poteva avviarsi senza che l'utente notasse l'annuncio, che poteva anche caricarsi in background.
L'operazione AdFection ha avuto un impatto tangibile. Le nuove fonti confermano che nel 2024 e 2025, la rete di notizie internazionale Al Jazeera è stata oggetto di una serie di attacchi "zero-click" che, con alta confidenza, sono stati collegati allo spyware di Candiru veicolato tramite le pubblicità di Discover-Tech. Almeno 45 dispositivi all'interno di Al Jazeera sono stati identificati come target di questi attacchi, basati sull'analisi dei log di rete forniti dall'emittente. I ricercatori sono riusciti a recuperare lo spyware da un dispositivo compromesso, sebbene l'exploit specifico per l'infezione iniziale non sia stato catturato. L'analisi del codice dello spyware ha rivelato tecniche distintive già osservate in precedenti analisi di strumenti di Candiru, rafforzando il legame tra le due entità. La tecnica "zero-click" usata in AdFection è simile a quella documentata in precedenza da Amnesty International nel 2025, che coinvolgeva annunci infetti con spyware Predator, un metodo denominato Aladdin. Tuttavia, AdFection è stato rilevato durante attacchi reali e collegato direttamente a Discover-Tech.
Le impression pubblicitarie sono state individuate anche su reti associate a organizzazioni sensibili, tra cui il Pentagono, la NATO, le Nazioni Unite, la Commissione Europea e la Corte Penale Internazionale. I ricercatori hanno identificato attività che coinvolgono reti governative, della difesa, dei media e delle infrastrutture critiche in diversi paesi. Sebbene ciò non implichi un'infezione per ogni organizzazione la cui rete ha visualizzato una pubblicità, dimostra che l'infrastruttura pubblicitaria può raggiungere persone che operano in ambienti dove identità, comunicazioni e attività dei dispositivi hanno valore di intelligence.
Questo rappresenta una sfida per i team di sicurezza. Le difese tradizionali si concentrano su allegati malevoli, link sospetti, software vulnerabili e connessioni di rete non autorizzate. AdFection aggiunge un nuovo percorso: codice distribuito tramite un servizio che utenti e organizzazioni consentono routinariamente perché supporta la normale navigazione web.
I ricercatori del Citizen Lab e di Confiant hanno lanciato un appello urgente affinché le autorità di regolamentazione e l'industria pubblicitaria prendano provvedimenti concreti. Jerome Dangu, CTO di Confiant, ha sottolineato come l'industria pubblicitaria si sia concentrata sulla lotta contro truffe e malware finalizzati al guadagno economico, ma non abbia ancora sviluppato adeguate difese contro minacce di sorveglianza su larga scala. Wolfie Cristl del Citizen Lab ha definito la situazione "disastrosa", evidenziando come i fornitori di pubblicità non abbiano rilevato l'operazione per anni. Confiant ha stimato che Discover-Tech erogasse circa 10 milioni di annunci al giorno, raccogliendo una vasta quantità di dati, sebbene le interazioni legate a Candiru fossero limitate a centinaia o poche migliaia di impression al giorno.
Si richiede un'indagine approfondita su Discover-Tech e sulle altre entità coinvolte, nonché l'implementazione di sanzioni. Inoltre, viene sollecitato un ripensamento radicale delle pratiche dell'industria pubblicitaria digitale per affrontare le minacce alla sorveglianza e le responsabilità legate alla raccolta e all'abuso dei dati. La ricerca evidenzia un rischio sistemico che richiede un intervento urgente da parte di agenzie di cybersecurity, regolatori e legislatori a livello globale. Le organizzazioni dovrebbero considerare la pubblicità online come una potenziale superficie d'attacco, specialmente sui dispositivi utilizzati da dirigenti, personale di intelligence, giornalisti e dipendenti con accesso a sistemi sensibili. Il blocco degli annunci e delle richieste di tracciamento a livello di rete è una misura raccomandata.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
