Nuove informazioni emergono sulla minaccia spyware AdFection, che sfrutta la pubblicità mirata per infettare dispositivi. Vengono analizzate le vulnerabilità della catena pubblicitaria digitale e le strategie di difesa come la microsegmentazione.
Le recenti scoperte su come la pubblicità mirata possa essere utilizzata come veicolo per infezioni da spyware hanno acceso un faro sui rischi per la sicurezza, in particolare per i dispositivi governativi. Un rapporto congiunto del Citizen Lab dell'Università di Toronto e della società di sicurezza Ad-tech Confiant aveva già messo in luce una tecnica denominata AdFection, che sfrutta annunci pubblicitari apparentemente innocui per installare software spia senza che l'utente debba compiere alcuna azione (zero-click).
La tecnica AdFection è particolarmente insidiosa perché non richiede interazioni da parte dell'utente. Gli annunci malevoli vengono distribuiti attraverso la complessa catena di approvvigionamento della pubblicità digitale. Il rapporto originale sottolineava la necessità che i fornitori di servizi pubblicitari migliorassero drasticamente le loro capacità di cybersecurity e di rilevamento delle minacce per bloccare efficacemente gli inserzionisti malintenzionati. Era fondamentale che questi fornitori effettuassero una verifica rigorosa e continua dei propri partner commerciali, estendendo tale controllo anche alle loro rispettive catene di fornitura.
I senatori statunitensi Ron Wyden (Oregon) e Cory Booker (New Jersey) avevano espresso forte preoccupazione riguardo a queste scoperte. Wyden, in particolare, aveva definito l'industria dell'ad-tech una minaccia alla sicurezza nazionale, dato che annunci legati alla società Discover-Tech, identificata come uno dei principali attori dietro AdFection, erano stati rilevati su reti governative. Wyden aveva paragonato l'esposizione dei dispositivi governativi a pubblicità mirata all'atto di "lasciare tutte le porte e le finestre aperte in una struttura governativa sensibile".
I senatori ribadiscono la necessità di riforme legislative. Già nel 2023, Wyden e Booker avevano introdotto una proposta di legge volta a vietare alle reti pubblicitarie di utilizzare dati personali per il targeting degli annunci, ma il provvedimento non era mai avanzato. Le nuove rivelazioni, tuttavia, sembrano rafforzare la loro posizione, evidenziando l'urgenza di protezioni per la privacy più robuste che possano stare al passo con le minacce di sorveglianza in continua evoluzione.
Wyden aveva sollecitato il governo a disabilitare gli annunci sui browser governativi e a disattivare gli identificatori mobili degli annunci, oltre a promuovere la sua legge per vietare completamente la pubblicità mirata. Secondo il senatore, il settore pubblicitario "non può essere considerato affidabile nel mettere la sicurezza degli utenti al di sopra dei profitti".
Di fronte a queste accuse, diverse entità del settore hanno reagito. Google, che era stata citata nel rapporto originale, ha confermato di aver bandito Discover-Tech durante un'indagine congiunta con Citizen Lab e Confiant. Un portavoce dell'azienda ha dichiarato che i loro sistemi di sicurezza hanno bloccato continuamente annunci malevoli per proteggere gli utenti, mentre smantellavano la rete. Google ha anche sottolineato i suoi sistemi di difesa multilivello e il fatto che oltre il 99% degli annunci non conformi alle policy vengono rilevati prima di raggiungere gli utenti.
Anche IAB Europe, un'associazione di settore, ha risposto, affermando che le scoperte non indicano un malfunzionamento dell'infrastruttura pubblicitaria digitale, ma piuttosto un potenziale abuso di tecnologie esistenti. L'associazione ha evidenziato gli sforzi continui dell'industria per migliorare la sicurezza.
Altre piattaforme pubblicitarie come Beeswax, Vungle ed Eskimi, insieme a Google, hanno preso provvedimenti per rimuovere l'accesso di Discover-Tech al loro ecosistema. Tuttavia, non tutte le aziende hanno risposto alle richieste di commento, inclusa Microsoft, proprietaria del sistema pubblicitario Xandr.
Il rapporto di Citizen Lab aveva concluso che l'industria pubblicitaria ha mostrato una "pericolosa mancanza di diligenza" e aveva criticato un'"infrastruttura digitale difettosa". Le raccomandazioni includevano una migliore condivisione dei dati sulle minacce tra i fornitori, un processo di vetting più rigoroso dei partner, audit regolari dei registri dei fornitori e il divieto predefinito di operare per i fornitori in giurisdizioni note per essere permissive verso abusi.
Le nuove fonti evidenziano come le minacce informatiche, inclusi attacchi come AdFection, possano infiltrarsi anche nelle reti più protette attraverso credenziali rubate, phishing e vulnerabilità non corrette. Questo sottolinea l'importanza di non limitarsi a impedire l'ingresso dei cybercriminali, ma di implementare strategie efficaci per contenere i danni una volta che un'infezione si è verificata. In questo contesto, tecniche come la microsegmentazione e l'endpoint isolation emergono come contromisure cruciali.
La microsegmentazione divide la rete in zone molto piccole, limitando la comunicazione solo a ciò che è strettamente necessario per il funzionamento di ogni sistema. Questo approccio è particolarmente efficace contro i ransomware e il movimento laterale degli attaccanti, poiché confina l'infezione a un'area ridotta e impedisce la propagazione verso sistemi critici come server di backup o controller di dominio. A differenza della segmentazione tradizionale basata su VLAN, la microsegmentazione applica policy di sicurezza anche all'interno dello stesso segmento logico, offrendo un controllo più granulare.
L'endpoint isolation, invece, interrompe le comunicazioni di un dispositivo sospetto, consentendo solo quelle necessarie per l'analisi e la bonifica. Questa tecnica può essere implementata tramite soluzioni EDR/XDR, controllo degli accessi di rete (NAC) o regole di microsegmentazione, e può essere attivata manualmente o automaticamente in risposta a un alert.
L'adozione di criteri di contenimento sui terminali compromessi, come l'endpoint isolation, è fondamentale per evitare la propagazione laterale delle infezioni e proteggere il capitale informativo dell'organizzazione. Inoltre, pratiche come il Device Health Check, che verifica la conformità dei dispositivi a requisiti minimi di sicurezza (sistema operativo aggiornato, antivirus attivo, cifratura disco, ecc.), sono essenziali per mantenere un elevato livello di sicurezza generale.
La vicenda AdFection evidenzia un conflitto persistente tra le esigenze di privacy e sicurezza degli utenti e i modelli di business basati sulla raccolta e l'utilizzo dei dati personali per la pubblicità mirata. Le azioni intraprese da alcune grandi aziende tecnologiche sono un passo nella giusta direzione, ma le richieste di riforme legislative più ampie e l'implementazione di strategie di difesa avanzate come la microsegmentazione suggeriscono che la strada per garantire una maggiore sicurezza nell'ecosistema pubblicitario digitale e nelle reti aziendali è ancora lunga.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
