Empresa usou anúncios para ataque zero-click e espionagem global

Segurança Digital

Campanha de anúncios digitais foi usada para espalhar spyware e comprometer dispositivos globalmente.

Leia também: Ahold Delhaize enfrenta incidente cibernético nos EUA

A empresa israelense Discover-Tech usou sua infraestrutura de publicidade digital para distribuir o spyware Candiru em ataques zero-click contra usuários no mundo todo, atingindo pelo menos 45 dispositivos de jornalistas da rede Al Jazeera e explorando brechas em leilões de anúncios online, segundo investigação do Citizen Lab.

Como anúncios viraram arma de espionagem

De fachada aparentemente legítima no mercado de mídia programática, a Discover-Tech comprava espaços em leilões de Real-Time Bidding (RTB), aqueles leilões automatizados que ocorrem em frações de segundo cada vez que um banner é exibido em sites e aplicativos.

Em vez de apenas mostrar publicidade, parte desses anúncios vinha embutida com scripts que coletavam IDs de publicidade dos celulares, executavam código JavaScript para criar uma espécie de “impressão digital” do dispositivo e, em alguns casos, entregavam o spyware da Candiru sem qualquer clique ou interação do usuário – o chamado ataque zero-click.

No centro da operação estava a plataforma Controlium, controlada pela Discover-Tech. Ela funcionava como um elo entre compradores de anúncios e fornecedores de spyware, permitindo desanonimizar usuários, rastrear aparelhos em larga escala e acionar rotinas de invasão remota assim que o anúncio era carregado na tela da vítima.

Al Jazeera e milhões de dispositivos na mira

Entre os alvos identificados pelo Citizen Lab estão pelo menos 45 dispositivos ligados à Al Jazeera, atacados no período em que a operação AdFection esteve ativa. Os pesquisadores apontam que a mesma infraestrutura foi usada para monitorar e potencialmente infectar aparelhos em diversos países, em especial ligados a setores sensíveis como mídia e telecomunicações.

A investigação encontrou ainda um servidor da Discover-Tech que expôs 4 bilhões de registros de lances de anúncios, evidência da escala do esquema. Esses registros mostraram que peças publicitárias da empresa foram exibidas em quase 200 mil sites e aplicativos Android e iOS, ampliando o alcance dos vetores de ataque a uma base massiva de usuários comuns.

Ao se infiltrar em um mecanismo padrão da economia digital — a publicidade personalizada —, a operação transformou a própria infraestrutura de anúncios em ferramenta de espionagem com capacidade de atingir jornalistas, ativistas, diplomatas e qualquer usuário específico, bastando direcionar a campanha para perfis ou dispositivos desejados.

Entenda o contexto

No ecossistema de RTB, plataformas de anúncios reúnem dados como endereço IP, identificadores de publicidade móvel, tipo de aparelho, localização aproximada e hábitos de navegação. Essa coleta serve para personalizar campanhas, mas também cria um ambiente fértil para abusos.

Segundo o Citizen Lab, a Discover-Tech não atuava sozinha. A empresa interagia com outros atores de vigilância, como o grupo apelidado de Dark Cartographer, que explora vulnerabilidades em operadoras móveis para construir bases de dados ligando identificadores de anúncios aos números de telefone dos usuários. Isso permite transformar códigos anônimos em identidades reais, massificando a desanonimização.

Nesse modelo, o anúncio deixa de ser apenas um banner e vira um pacote de instruções capaz de identificar, rastrear e, em alguns casos, tomar o controle total de um aparelho. Ataques zero-click são especialmente perigosos porque não dependem de enganar o usuário com links ou anexos: basta que o anúncio apareça na tela.

Reação de Google, IAB Europe e outras plataformas

Após a divulgação detalhada da operação AdFection, grandes atores da indústria de publicidade digital se movimentaram para tentar conter o dano. Google e IAB Europe removeram a Discover-Tech de seus registros oficiais de fornecedores de anúncios, o que, na prática, corta o acesso da empresa a boa parte do mercado programático.

Além disso, o Google bloqueou a Discover-Tech em suas plataformas de troca de anúncios, impedindo que a empresa participe de novos leilões dentro de seu ecossistema. Outras companhias do setor, como Beeswax e Eskimi, também adotaram medidas semelhantes, restringindo ou encerrando integrações com a fornecedora israelense.

As decisões refletem uma preocupação mais ampla: se uma empresa consegue transformar um canal legítimo de publicidade em vetor de espionagem sofisticada, toda a cadeia de anúncios digitais passa a ser questionada em relação a controles de segurança, auditoria de parceiros e verificação de código embarcado nas peças.

O que diz o Citizen Lab e quais são os riscos

Para os pesquisadores do Citizen Lab, o caso Discover-Tech expõe um problema estrutural do mercado de anúncios, que depende de rastreamento em larga escala e de uma teia de intermediários pouco transparentes. A combinação de muitos dados, pouca supervisão técnica e alto grau de automação cria o cenário ideal para operações como a AdFection.

Na análise publicada, o grupo defende que a resposta mais eficaz, por enquanto, é endurecer o bloqueio de publicidade personalizada na infraestrutura de redes. “Given the current threat posed by Discover-Tech’s AdFection vectors, and the evidence of wide-scale targeting, we judge that the most feasible protection is for defenders to block targeted ads at the gateway. This defensive recommendation holds until the industry has shown that it is reliably able to block all AdFection-style vectors”, afirma o Citizen Lab.

Na prática, isso significa que provedores de internet, grandes empresas e órgãos públicos deveriam considerar filtros para anúncios direcionados antes mesmo de eles chegarem aos dispositivos, enquanto o setor não demonstrar capacidade real de impedir que campanhas sejam usadas como cavalo de troia.

Pressão regulatória e próximos passos

A revelação da AdFection tende a acelerar discussões regulatórias sobre o mercado de publicidade digital, em especial na Europa e em outros mercados com leis de proteção de dados rígidas. A exposição de bilhões de registros de lances e o uso desses dados para fins de espionagem podem embasar processos judiciais, multas e exigências de transparência mais duras para intermediários de anúncios.

Para empresas de mídia como a Al Jazeera, o episódio acende novo alerta sobre a necessidade de reforçar defesas cibernéticas não só em e-mails e sistemas internos, mas também em vetores considerados “de bastidor”, como SDKs de anúncios em aplicativos e códigos de terceiros embutidos em páginas.

No curto prazo, a Discover-Tech e seus parceiros comerciais perdem acesso a plataformas-chave e veem sua credibilidade abalada. No médio e longo prazo, a própria indústria de publicidade online pode ser forçada a rever seu modelo de rastreamento, com impacto direto em receitas, formatos de campanha e desenho técnico das trocas de dados entre sites, apps e anunciantes.

Fonte: matéria original