Spyware chegava pelos anúncios e infectava sem clique, mostra Citizen Lab

Um anúncio online pode carregar mais do que uma imagem. Pode carregar código — e pesquisadores do Citizen Lab, da Universidade de Toronto, mostraram agora que esse código pode ser usado para instalar spyware no dispositivo de uma pessoa escolhida sem que ela toque na tela uma única vez. O laboratório chama a técnica de AdFection. Quem fosse hackeado dessa maneira “não perceberia nada de estranho”, disse à Wired o pesquisador sênior Bill Marczak. “Na verdade, talvez nem visse anúncio algum.”

Isso importa para qualquer pessoa que tenha um celular cheio de aplicativos gratuitos. Ataques de clique zero costumam explorar brechas em aplicativos de mensagens, que as empresas podem corrigir. Este, porém, se aproveitava do mecanismo comum que decide qual anúncio você vai ver: um leilão que acontece em uma fração de segundo sempre que um aplicativo ou uma página da web é carregado e que já transmite o identificador de publicidade do seu dispositivo, seu endereço IP e informações sobre seu celular.

No centro da operação está a Discover-Tech, empresa registrada em Israel que se apresentava como uma companhia de publicidade. Segundo o relatório, sua plataforma, Controlium, permitia que clientes selecionassem um alvo específico pelo identificador de publicidade, por um cookie do navegador ou pelo endereço IP e enviassem código ao dispositivo no instante em que um anúncio fosse exibido. Para todos os demais, aparecia um anúncio normal. O Citizen Lab atribui, com alto grau de confiança, uma série de ataques à rede de notícias Al Jazeera à Candiru, fabricante de spyware que hoje se chama Integrity Labs. Pelo menos 45 dispositivos dentro da emissora foram alvos, e um computador com Windows infectado revelou um arquivo que apontava para os servidores da Candiru.

A forma como os pesquisadores conseguiram entrar no sistema é quase engraçada. A página de login da Controlium trazia o código-fonte completo do próprio painel de controle, então a equipe salvou a página, cortou as conexões com servidores externos e ativou todas as telas. Um servidor da Discover-Tech também deixou expostos quase quatro bilhões de registros de lances publicitários. Eles mostram anúncios com a tag de script do invasor em 75.373 aplicativos para Android e iOS e em 120.768 sites. Nomes conhecidos aparecem nos registros: o aplicativo de mensagens Viber exibiu mais de 700 mil desses anúncios no Android, e eles também apareceram no Yahoo Mail, no Opera Mini e no Duolingo.

Esses números precisam ser interpretados com cautela. O fato de um anúncio da Discover-Tech aparecer na sua tela não significa que seu celular tenha sido hackeado, ressalta o laboratório. Na maioria dos casos, o servidor não enviava código algum, e os dados de lances cobrem apenas uma das plataformas de anúncios da empresa, ao longo de quatro meses. O Citizen Lab não revelou quais governos pagaram pela operação contra a Al Jazeera, e sua constatação de que os anúncios chegaram a redes da OTAN, das Nações Unidas e de várias instituições europeias demonstra o alcance da campanha, não infecções confirmadas. Na Noruega, os anúncios chegaram às redes do Parlamento e da polícia; na Suécia, às das Forças Armadas e da operadora nacional da rede elétrica. As medidas de proteção disponíveis para o público em geral são limitadas. O conselho de Marczak para quem pode ser alvo “por quem você é ou pelo que faz” é desativar o rastreamento de anúncios ou bloquear todos os anúncios.

O setor de publicidade começou a reagir. O Google afirma ter bloqueado a Discover-Tech em suas plataformas de anúncios após uma investigação conjunta com o Citizen Lab e a empresa de segurança Confiant, além de ter incluído avisos do Safe Browsing para sites ligados ao grupo. A IAB Europe suspendeu a empresa de sua lista de fornecedores de anúncios aprovados, e a Beeswax, controlada pela Comcast, removeu a Discover-Tech de sua plataforma. A Discover-Tech não respondeu à Wired nem ao TechCrunch.

O Citizen Lab publicou o relatório em 15 de outubro de 2026. O documento aborda os ataques à Al Jazeera em 2024 e 2025 e dados de lances publicitários de março a junho de 2026. Um segundo relatório, sobre outro grupo que o laboratório chama de DARK CARTOGRAPHER, será divulgado em breve. Segundo o Citizen Lab, o grupo usou a mesma infraestrutura para associar os identificadores de publicidade dos celulares aos números de telefone, explorando vulnerabilidades em operadoras de telefonia móvel de mais de 30 países.

Marczak diz que a Discover-Tech é “certamente apenas a ponta do iceberg”. A equipe não precisou procurar muito para encontrar os anúncios. Eles apareceram nas telas dos próprios pesquisadores enquanto liam os sites da CBC e do Yahoo e jogavam Sudoku em um dispositivo Android.

Tags: cibersegurança, AdFection, Candiru, Citizen Lab, Discover-Tech, publicidade online