Una nuova e allarmante frontiera dello spyware zero-click si manifesta non più solo tramite messaggi o applicazioni vulnerabili, ma sfruttando l’infrastruttura più comune del web: gli annunci pubblicitari. Citizen Lab ha documentato prove tecniche di campagne in cui pubblicità online mirate sono state usate per compromettere dispositivi senza alcuna azione da parte delle vittime. Questo rappresenta un cambiamento significativo, spostando il rischio dal clic alla semplice esposizione a un ecosistema pubblicitario automatizzato.
Discover-Tech: il ponte per lo spyware mercenario
Al centro delle scoperte vi è la società israeliana Discover-Tech, identificata come potenziale collegamento tra piattaforme pubblicitarie e fornitori di spyware mercenario. La sua piattaforma Controlium avrebbe consentito di indirizzare contenuti malevoli verso utenti o dispositivi specifici, sfruttando la logica di precisione del marketing digitale. Almeno 45 computer Windows di Al Jazeera sono stati compromessi tra il 2024 e il 2025 tramite annunci contenenti codice malevolo, collegato allo spyware Candiru. La natura zero-click di questi attacchi è cruciale: lo spyware zero-click può infettare un dispositivo senza alcuna interazione dell'utente.
Citizen Lab ha anche rilevato codice sorgente, registri di accesso e dati di bidding pubblicitario esposti, con annunci visualizzati su migliaia di app e siti tra marzo e giugno 2026. La pubblicità, da canale commerciale, si trasforma così in una superficie operativa per la sorveglianza mirata.
AdFection e l'abuso del real-time bidding
La campagna di attacco è stata denominata AdFection. L'elemento più critico risiede nell'abuso del real-time bidding (RTB), il sistema che assegna gli spazi pubblicitari in millisecondi tramite aste automatizzate. Questo meccanismo, pur ottimizzando la pertinenza degli annunci, raccoglie e scambia dati su dispositivo, posizione, app, sito visitato e profilo utente.
Abusato, il RTB diventa uno strumento potente per localizzazione, fingerprinting e selezione dei bersagli.
A seguito di queste rivelazioni, Google ha bloccato Discover-Tech dalle proprie piattaforme pubblicitarie, dopo un'indagine congiunta con Citizen Lab e Confiant. Anche IAB Europe e Beeswax hanno adottato provvedimenti. Questi interventi evidenziano la gravità della situazione e la necessità di rafforzare le difese contro l'uso improprio delle infrastrutture pubblicitarie per scopi di sorveglianza.
