Mixvale
Pesquisadores das empresas de cibersegurança Report URI e iVerify revelaram em 22 de outubro de 2026 uma operação criminosa batizada de DeadTag que infecta aparelhos iPhone por meio de páginas legítimas e anúncios digitais. A campanha comprometeu uma vasta infraestrutura na internet para instalar spyware (programa espião) nos celulares da Apple sem exigir que a vítima clique em links maliciosos, ativando a invasão apenas com a visualização da publicidade ou a navegação comum.
Em um dos episódios confirmados pela investigação, o aparelho de um funcionário de uma instituição financeira foi invadido enquanto ele apenas rolava o feed do Instagram e passava por um anúncio sobre futebol. Na ocasião, o código identificou o sistema operacional do telefone e implantou a falha correspondente de forma automática.
“Os usuários não estão visitando sites maliciosos. Eles estão apenas navegando e sendo infectados”, afirmou Rocky Cole, cofundador e executivo da startup de segurança móvel iVerify.
Para espalhar as ferramentas de invasão em larga escala sem precisar derrubar as defesas de cada página individualmente, o grupo criminoso assumiu o controle de estruturas antigas esquecidas pelos administradores na internet. Os invasores compraram e reativaram domínios expirados que ainda estavam conectados a trechos de código obsoletos dentro de sites legítimos, conhecidos como tags — comandos usados para análise de tráfego, exibição de publicidade e funcionamento de widgets de suporte ao cliente.
Ao assumirem o endereço web que antes pertencia a um serviço desativado, os criminosos passaram a injetar comandos maliciosos diretamente nos navegadores dos visitantes, transformando páginas confiáveis em vetores de distribuição de pragas digitais e redirecionamento para páginas de spam e golpes.
Saiba mais: Google Fotos garante 15 GB na nuvem e desafoga iPhone e Android O pesquisador de cibersegurança Scott Helme, fundador e CEO da Report URI, batizou o grupo de DeadTag após identificar os endereços comprometidos e acionar a iVerify para aprofundar a apuração técnica.
“O DeadTag não invade sites, porque não precisa fazer isso. Ele assume o controle de pedaços de código de outras empresas aos quais os sites pararam de prestar atenção há anos e os utiliza para entregar uma variedade de conteúdos maliciosos”, declarou Helme, em tradução livre.
Além de operar os ataques próprios, a organização vende o tráfego das páginas afetadas para outros grupos criminosos interessados em atingir visitantes desavisados. Um dos grupos que compram o acesso fornecido pela rede do DeadTag dedica-se exclusivamente a invadir telefones da Apple utilizando dois kits de exploração (conjuntos de códigos criados para aproveitar brechas de segurança) do sistema iOS, chamados Coruna e DarkSword.
Essas ferramentas avançadas teriam vazado de agências de inteligência estatais e vêm sendo empregadas por cibercriminosos desde o período entre março e junho de 2026. Entenda: Bateria do celular: Android e iPhone apontam aplicativos que mais gastam energia em segundo plano
Como a Apple já corrigiu em atualizações anteriores as falhas originais exploradas por essas ferramentas, os ataques selecionam como alvo os aparelhos que ainda rodam versões antigas do sistema operacional. No entanto, Scott Helme identificou no código evidências de que a quadrilha já preparou a estrutura para inserir exploits (comandos que acionam uma falha) voltados a vulnerabilidades mais recentes e ainda não corrigidas do iOS.
A invasão foca na extração de dados financeiros e de acesso dos usuários. Relembre: iPhone e iPad permitem ajustar quantidade de apps sugeridos na Busca
A descoberta do esquema contra usuários do iPhone ocorreu uma semana após pesquisadores do Citizen Lab relatarem o uso de táticas semelhantes na indústria de tecnologia de publicidade online. Naquele episódio anterior, anúncios digitais serviram de veículo para instalar spyware de nível governamental em computadores com sistema Windows pertencentes a jornalistas da emissora Al Jazeera, demonstrando o uso recorrente do ecossistema publicitário para infiltrações silenciosas.
A identidade e a nacionalidade exatas dos operadores do DeadTag e de seus clientes permanecem desconhecidas até esta sexta-feira (23). Embora os pesquisadores tenham encontrado comentários escritos em chinês dentro do código malicioso e constatado que diversos domínios da rede utilizavam um serviço de segurança web sediado na China para se protegerem, Helme e Cole afirmam não ter certeza sobre a origem real dos envolvidos.
Procuradas para comentar as invasões registradas por meio de suas plataformas e sistemas, a Apple e a Meta (controladora do Instagram) não responderam aos pedidos de posicionamento até a publicação do relatório. Diante da dificuldade técnica de alertar individualmente os administradores das milhares de páginas afetadas, Scott Helme acionou órgãos nacionais de segurança cibernética para coordenar a notificação em massa e a derrubada da infraestrutura do DeadTag.
