Riassunto:
Citizen Lab, un istituto di ricerca sulla sicurezza informatica affiliato all'Università di Toronto in Canada, ha recentemente divulgato i risultati di un sondaggio che ha attirato l'attenzione di molti. I ricercatori hanno scoperto che per attività di spionaggio viene effettivamente utilizzato un nuovo metodo di attacco basato sul sistema di distribuzione della pubblicità online. Gli aggressori possono identificare gli obiettivi tramite pubblicità online e distribuire spyware sui dispositivi senza nemmeno richiedere alle vittime di fare clic su alcun collegamento.
Il team di ricerca ha chiamato questa tecnologia "AdFection" e ha affermato che questa è la prima volta che sono state ottenute pubblicamente prove tecniche per dimostrare che gli attacchi spyware commerciali "zero clic" possono essere implementati con l'aiuto di sistemi pubblicitari online. L'indagine ha rivelato che la tecnologia è stata utilizzata in un'operazione di penetrazione online contro Al Jazeera in Qatar.
Secondo il rapporto, una società israeliana chiamata Discover-Tech ha svolto un ruolo chiave in questa operazione. L'azienda afferma di essere una società di pubblicità digitale, ma i ricercatori ritengono che gestisca una piattaforma che aiuta effettivamente i partner a identificare, tracciare e indirizzare dispositivi target specifici.
L'indagine ha evidenziato che Discover-Tech gestisce una piattaforma chiamata Controlium. La piattaforma è in grado di utilizzare un sistema di offerte pubblicitarie in tempo reale online per raccogliere informazioni sul dispositivo, inclusi identificatori pubblicitari e indirizzi IP. Dopo che il sistema ha identificato l'obiettivo previsto, può inviare codice dannoso al dispositivo corrispondente, mentre gli utenti normali vedranno solo normali contenuti pubblicitari. Ciò significa che la vittima non ha bisogno di cliccare sull'annuncio o di scaricare file e il processo di attacco può svolgersi automaticamente.
I ricercatori hanno affermato che questa piattaforma non solo può identificare il bersaglio, ma anche diventare un punto di ingresso per la diffusione del malware. Nel caso di Al Jazeera, gli aggressori avrebbero utilizzato questo meccanismo per distribuire lo spyware commerciale Candiru sui dispositivi presi di mira. Candiru è un noto strumento spyware a noleggio in grado di controllare da remoto i dispositivi, rubare dati e accedere alla fotocamera e al microfono del dispositivo.
Citizen Lab ha dichiarato di aver scoperto che almeno 45 dispositivi sulla rete di Al Jazeera sono stati soggetti ad attacchi correlati, nel periodo dal 2024 al 2025. I ricercatori ritengono che questo sia il primo esempio divulgato pubblicamente di un'infezione tecnica completa da spyware zero-click tramite pubblicità mirata.
La portata di questa operazione va ben oltre i singoli obiettivi. Il team di ricerca ha analizzato circa 4 miliardi di record di offerte pubblicitarie e ha scoperto che tra marzo e giugno 2026 gli annunci pubblicati da Discover-Tech sono apparsi su circa 120.000 siti Web e oltre 70.000 applicazioni mobili in tutto il mondo, coinvolgendo più paesi e regioni.
I ricercatori hanno inoltre sottolineato che questi annunci pubblicitari non servono solo come propaganda commerciale, ma vengono anche utilizzati per ricognizioni su larga scala e screening degli obiettivi. Milioni di dispositivi sono stati silenziosamente indirizzati a connettersi ai server correlati a Candiru, aiutando gli aggressori a raccogliere informazioni, identificare obiettivi e prepararsi per attacchi successivi.
L'indagine ha inoltre rilevato che Discover-Tech è da tempo presente negli elenchi dei fornitori certificati di molti grandi ecosistemi pubblicitari, tra cui il sistema pubblicitario di Google e l'organizzazione europea del settore pubblicitario IAB Europe. Ciò significa che i suoi annunci possono raggiungere un gran numero di siti Web e app in tutto il mondo.
Oltre a Candiru, Citizen Lab ha scoperto anche che un altro gruppo di minacce chiamato "Dark Cartographer" è collegato alla piattaforma pubblicitaria. I ricercatori hanno affermato che l’organizzazione sfrutta principalmente le vulnerabilità legate agli operatori di telefonia mobile per associare gli identificatori pubblicitari dei dispositivi a numeri di telefono reali, ottenendo così la deanonimizzazione degli utenti su larga scala.
In un'indagine indipendente, la società di sicurezza pubblicitaria Confiant ha anche scoperto che annunci pubblicitari pertinenti erano apparsi nei dipartimenti governativi, nelle agenzie di difesa e negli ambienti della rete NATO. Tuttavia, al momento non ci sono prove che questi dispositivi istituzionali siano stati infettati con successo.
Dopo la scoperta dell'incidente, molte piattaforme pubblicitarie hanno adottato misure per interrompere i loro rapporti di collaborazione con Discover-Tech. Allo stesso tempo, i ricercatori chiedono alle autorità di regolamentazione e al settore pubblicitario di riesaminare i rischi per la sicurezza dell’ecosistema pubblicitario digitale esistente. Ritengono che l’infrastruttura pubblicitaria originariamente utilizzata per il marketing commerciale si sia rivelata uno strumento per la sorveglianza di massa, il tracciamento degli obiettivi e persino gli attacchi informatici, e questo fenomeno pone nuove sfide alla privacy di Internet e alla sicurezza della rete.
Commenti