Citizen Lab scopre lo spyware nascosto negli annunci, senza un clic

Una pubblicità online può contenere molto più di un’immagine: può trasportare codice. I ricercatori del Citizen Lab dell’Università di Toronto hanno dimostrato che quel codice può essere usato per installare spyware sul dispositivo di una persona presa di mira, senza che questa tocchi lo schermo nemmeno una volta. Il laboratorio ha chiamato la tecnica AdFection. Chi subiva un attacco del genere «non si sarebbe accorto di nulla», ha detto a Wired Bill Marczak, ricercatore senior. «Anzi, potrebbe anche non aver visto alcuna pubblicità.»

È un aspetto che riguarda chiunque abbia sul telefono una serie di app gratuite. Finora gli attacchi zero-click hanno sfruttato soprattutto falle nelle app di messaggistica, che le aziende possono correggere con una patch. In questo caso, invece, il bersaglio era il normale meccanismo che decide quale annuncio mostrare: un’asta che si svolge in una frazione di secondo ogni volta che si carica un’app o una pagina web e che già trasmette l’ID pubblicitario del dispositivo, il suo indirizzo IP e informazioni sul telefono.

Al centro della vicenda c’è Discover-Tech, una società registrata in Israele che si presentava come un’azienda pubblicitaria. Secondo il rapporto, la sua piattaforma Controlium permetteva ai clienti di individuare un singolo bersaglio tramite ID pubblicitario, cookie del browser o indirizzo IP e di inviare codice al dispositivo non appena veniva visualizzato un annuncio. A tutti gli altri compariva una pubblicità normale. Con un alto grado di certezza, Citizen Lab collega a Candiru, azienda produttrice di spyware che ora si chiama Integrity Labs, una serie di attacchi contro la rete giornalistica Al Jazeera. Sono stati presi di mira almeno 45 dispositivi all’interno dell’emittente; da un computer Windows infettato è stato recuperato un file che rimandava ai server di Candiru.

Il modo in cui i ricercatori sono riusciti a entrare nel sistema è quasi comico. La pagina di accesso a Controlium includeva il codice sorgente completo della dashboard, così il team ha salvato la pagina, interrotto i collegamenti ai server esterni e attivato tutte le schermate. Anche un server di Discover-Tech lasciava esposti quasi quattro miliardi di record delle aste pubblicitarie. Dai dati emerge che annunci contenenti il tag script dell’aggressore sono comparsi in 75.373 app per Android e iOS e su 120.768 siti web. Non mancano nomi noti: il servizio di messaggistica Viber ha mostrato oltre 700.000 di questi annunci su Android, comparsi anche su Yahoo Mail, Opera Mini e Duolingo.

Questi numeri vanno interpretati con attenzione. La presenza sullo schermo di un annuncio di Discover-Tech non significa che il telefono sia stato violato, sottolinea il laboratorio. Nella maggior parte dei casi il server non restituiva alcun codice, e i dati delle aste coprono soltanto una delle piattaforme pubblicitarie della società nell’arco di quattro mesi. Citizen Lab non ha indicato quali governi abbiano pagato per l’operazione contro Al Jazeera; inoltre, il fatto che gli annunci abbiano raggiunto le reti della NATO, delle Nazioni Unite e di varie istituzioni europee dimostra la loro diffusione, non che ci siano state infezioni accertate. In Norvegia gli annunci hanno raggiunto le reti del parlamento e della polizia; in Svezia quelle delle forze armate e del gestore della rete elettrica nazionale. Le misure di difesa a disposizione delle persone comuni sono piuttosto drastiche. Il consiglio di Marczak per chi potrebbe essere preso di mira «per chi è o per quello che fa» è disattivare il tracciamento pubblicitario o bloccare del tutto gli annunci.

Il settore pubblicitario ha cominciato a reagire. Google afferma di aver escluso Discover-Tech dalle proprie piattaforme pubblicitarie dopo un’indagine congiunta con Citizen Lab e la società di sicurezza Confiant, e di aver aggiunto avvisi di Navigazione sicura per i siti web collegati al gruppo. IAB Europe ha sospeso la società dall’elenco dei fornitori pubblicitari approvati, mentre Beeswax, di proprietà di Comcast, l’ha rimossa dalla propria piattaforma. Discover-Tech non ha risposto a Wired né a TechCrunch.

Citizen Lab ha pubblicato il rapporto il 15 ottobre 2026. Il documento esamina gli attacchi contro Al Jazeera del 2024 e del 2025 e i dati delle aste raccolti da marzo a giugno 2026. È in arrivo un secondo rapporto su un gruppo distinto, che il laboratorio chiama DARK CARTOGRAPHER e che, a quanto afferma, ha usato la stessa infrastruttura per associare gli ID pubblicitari dei telefoni ai rispettivi numeri di telefono, sfruttando le vulnerabilità degli operatori di telefonia mobile in oltre 30 Paesi.

Marczak definisce Discover-Tech «di sicuro solo la punta dell’iceberg». Il suo team non ha dovuto cercare a lungo per trovare gli annunci: sono comparsi sugli schermi degli stessi ricercatori mentre leggevano i siti web di CBC e Yahoo e giocavano a Sudoku su Android.

Tag: sicurezza informatica, pubblicità online, AdFection, Candiru, Citizen Lab, Discover-Tech