Bastava o anúncio carregar: empresa israelense usou publicidade digital para atacar 45 dispositivos da Al Jazeera

Um anúncio de celular ou fone de ouvido podia parecer banal. Por trás da peça, porém, havia um sistema capaz de identificar o aparelho, conferir se ele pertencia a um alvo e, nesse caso, abrir caminho para a instalação de um programa espião sem exigir um único clique. A engrenagem foi usada contra ao menos 45 dispositivos Windows da Al Jazeera entre 2024 e 2025. O relatório publicado nesta quinta-feira (15) pelo Citizen Lab apresenta o episódio como a primeira comprovação técnica pública de um spyware mercenário distribuído por publicidade direcionada. Os pesquisadores deram à técnica o nome de AdFection. Uma investigação paralela da empresa de segurança Confiant chegou à mesma rede por outro caminho. No centro da operação estava a Discover-Tech, empresa israelense fundada em 2020 e apresentada ao mercado como fornecedora de tecnologia para publicidade digital. Segundo os pesquisadores, a companhia conectava o sistema de anúncios a empresas de vigilância e permitia que aparelhos específicos fossem localizados e atacados. O programa encontrado nos dispositivos da Al Jazeera pertencia à Candiru, hoje rebatizada como Integrity Labs. A empresa israelense fabrica ferramentas de espionagem digital para governos. Seus programas podem invadir e monitorar iPhones, celulares Android, Macs, computadores com Windows e contas armazenadas na nuvem, segundo uma investigação anterior do Citizen Lab. O novo relatório não identifica qual governo ou órgão contratou a operação, nem por que a Al Jazeera foi escolhida. A investigação atribui o spyware à Candiru e reconstitui sua distribuição pela Discover-Tech, mas não chega ao cliente que operou a ferramenta. Como um anúncio virava arma Os espaços publicitários de sites e aplicativos são vendidos em leilões automáticos que duram frações de segundo. Quando a Discover-Tech vencia uma dessas disputas, seu anúncio carregava um código que se conectava aos servidores da empresa e enviava informações como o identificador publicitário do aparelho, cookies do navegador e endereço IP. Na maioria dos casos, o sistema apenas coletava esses dados. Se o aparelho correspondesse a um alvo previamente selecionado, porém, o servidor devolvia um código capaz de acionar as etapas seguintes do ataque. A escolha era feita por uma plataforma chamada Controlium. Clientes podiam indicar o alvo por meio do identificador publicitário do celular, de um cookie do navegador ou de um endereço IP. O anúncio podia aparecer na tela ou ser carregado em segundo plano. Nenhuma interação do usuário era necessária. No caso da Al Jazeera, os registros de rede entregues ao Citizen Lab permitiram reconstituir a sequência. Os dispositivos primeiro se conectavam à infraestrutura da Discover-Tech, depois a um servidor usado para verificar se o aparelho era adequado ao ataque e, por fim, ao sistema de comando e controle da Candiru. Os pesquisadores também analisaram um arquivo retirado de um dos equipamentos comprometidos e o associaram, com alto grau de confiança, a uma versão mais recente do spyware da empresa. A Candiru entrou na lista de restrições comerciais dos Estados Unidos em 2021. Na ocasião, o Departamento de Comércio americano afirmou que a empresa havia desenvolvido e fornecido spyware a governos estrangeiros que usaram as ferramentas contra autoridades, jornalistas, empresários, ativistas, acadêmicos e funcionários de embaixadas. Uma operação em quase 200 mil sites e aplicativos A escala da rede apareceu em uma base de dados deixada publicamente acessível pela Discover-Tech. O Citizen Lab analisou 3,77 bilhões de ofertas feitas pela empresa em leilões de publicidade entre março e junho de 2026. Ela aparentemente venceu 441,9 milhões dessas disputas, o equivalente a 11,7% do total. Os códigos ligados à operação foram efetivamente exibidos em 120.768 sites e 75.373 aplicativos para Android e iOS. A lista inclui serviços como Viber, Truecaller, Yahoo Mail, Opera Mini e Duolingo, além de páginas como Weather.com, Yahoo, TripAdvisor, BBC e The New York Times. A presença dos anúncios não indica participação dos aplicativos ou dos sites na operação. A Confiant estima que a Discover-Tech distribuía ao menos 10 milhões de anúncios por dia. Jerome Dangu, cofundador da empresa de segurança, disse à Reuters que centenas de milhões de pessoas provavelmente foram alcançadas. A companhia ressalta que os anúncios associados diretamente à Candiru representavam uma parcela pequena do volume total da Discover-Tech. Os anúncios também chegaram a redes do Pentágono, da Agência Internacional de Energia Atômica e do Tribunal Penal Internacional, segundo a Confiant. O Citizen Lab encontrou registros na ONU, na Otan, na Comissão Europeia e em mais de uma dezena de governos nacionais. Nesses casos, a exibição comprova a exposição ao anúncio e a possibilidade de coleta de dados, não a infecção de cada dispositivo. A Discover-Tech e seu presidente executivo, Dekel Boni, não responderam aos pedidos de comentário da Reuters. A agência também não conseguiu localizar os responsáveis pela Candiru. A Yandex, uma das plataformas pelas quais os anúncios foram distribuídos, não se manifestou. Google, IAB Europe e Comcast adotaram medidas contra a empresa após as investigações. O Google afirmou ter retirado a Discover-Tech de suas plataformas por violações sistemáticas de suas políticas. A IAB Europe suspendeu a companhia de sua lista de fornecedores aprovados depois de uma auditoria, e a Beeswax, plataforma de publicidade da Comcast, encerrou o acesso da empresa. Até o início de outubro, a Discover-Tech ainda aparecia em cadastros de fornecedores mantidos pelo Google e pela IAB Europe, nos quais estava registrada desde 2020. O Google cortou seu acesso na primeira semana do mês. A IAB Europe retirou a companhia de sua lista em 8 de outubro. Mais Lidas