La pubblicità online potrebbe nascondere una minaccia molto più grave del semplice tracciamento degli utenti. Una nuova indagine di Citizen Lab, il gruppo di ricerca dell’Università di Toronto specializzato in sicurezza digitale e sorveglianza, ha documentato un sistema attraverso il quale annunci pubblicitari mirati possono essere utilizzati per distribuire spyware mercenario senza che la vittima debba cliccare su alcun link.
La ricerca, pubblicata il 15 ottobre 2026, porta alla luce un meccanismo battezzato AdFection, che sfrutta l’infrastruttura della pubblicità digitale per identificare, profilare e potenzialmente infettare dispositivi appartenenti a obiettivi specifici. Al centro dell’indagine c’è Discover-Tech, un’azienda israeliana che si presenta come operatore pubblicitario, ma che, secondo le evidenze raccolte dai ricercatori, avrebbe svolto un ruolo di collegamento tra il mercato pubblicitario e diverse società attive nel settore dello spyware e della sorveglianza.
AdFection: quando basta visualizzare un annuncio per essere infettati
Normalmente siamo abituati a considerare la pubblicità online come un problema legato alla privacy: cookie, profilazione, identificatori pubblicitari e raccolta di informazioni sulle nostre abitudini. L’indagine di Citizen Lab mostra però come la stessa infrastruttura possa essere sfruttata per uno scopo decisamente più pericoloso.
Il sistema pubblicitario digitale si basa su aste automatizzate, note come Real-Time Bidding (RTB), attraverso le quali gli inserzionisti competono per mostrare un annuncio a uno specifico utente. Nel processo possono circolare informazioni sull’indirizzo IP, sul dispositivo utilizzato, sugli identificatori pubblicitari e sull’applicazione o sul sito visitato.
Gli annunci, inoltre, non sono necessariamente semplici immagini o video: possono contenere codice HTML e JavaScript che viene eseguito durante la loro visualizzazione. È proprio qui che si inserisce AdFection.
Secondo Citizen Lab, gli annunci utilizzati nell’operazione potevano contattare server esterni e ricevere codice aggiuntivo, potenzialmente in grado di sfruttare vulnerabilità del dispositivo e installare spyware. Il codice poteva essere distribuito in modo selettivo, sulla base di informazioni utili a riconoscere il bersaglio.
La caratteristica più inquietante è che non sarebbe stato necessario cliccare sull’annuncio: in determinate condizioni, la sua semplice visualizzazione poteva innescare la catena di attacco. Si tratta quindi di una forma di attacco zero-click, nella quale l’interazione volontaria dell’utente non è richiesta.
Discover-Tech e il collegamento con lo spyware mercenario
L’indagine individua in Discover-Tech uno degli elementi centrali dell’infrastruttura analizzata. L’azienda avrebbe utilizzato diversi canali pubblicitari per distribuire annunci, servendosi anche di una piattaforma proprietaria chiamata MyDSP.
I ricercatori descrivono inoltre Controlium, una piattaforma che avrebbe consentito ai clienti di selezionare obiettivi, raccogliere informazioni sui loro dispositivi e predisporre campagne pubblicitarie controllate, utilizzate anche per attività di sorveglianza e distribuzione di spyware.
Tra i collegamenti documentati compare Candiru, società israeliana attiva nel settore dello spyware mercenario e successivamente associata al nome Integrity Labs. Citizen Lab riferisce di aver individuato dispositivi della rete internazionale Al Jazeera infettati con spyware di Candiru attraverso annunci pubblicitari mirati.
Il rapporto esamina anche i legami con altre realtà del settore, tra cui Bindecy e Intelos. Le evidenze presentate delineano un ecosistema nel quale strumenti nati per la pubblicità e la raccolta di dati possono essere utilizzati per attività offensive di sorveglianza informatica.
È importante distinguere le evidenze tecniche presentate dai ricercatori dalle eventuali responsabilità giuridiche delle aziende coinvolte, che spettano alle autorità competenti.
Quasi quattro miliardi di registrazioni pubblicitarie analizzate
Per comprendere la portata del fenomeno, Citizen Lab ha analizzato quasi quattro miliardi di registrazioni relative alle aste pubblicitarie, rese accessibili da server collegati a Discover-Tech.
I dati esaminati mostrano che, tra marzo e giugno 2026, gli annunci dell’azienda sono comparsi su quasi 200.000 siti web e applicazioni Android e iOS in numerosi Paesi. Il rapporto evidenzia inoltre che milioni di dispositivi sarebbero stati indirizzati in modo occulto verso server associati all’infrastruttura di Candiru, verosimilmente per attività di tracciamento e ricognizione.
Questi numeri non significano che tutti i dispositivi raggiunti dagli annunci siano stati infettati. Mostrano tuttavia quanto possa essere estesa l’infrastruttura utilizzata per raggiungere potenziali obiettivi e raccogliere informazioni.
Un altro aspetto preoccupante riguarda la possibilità di collegare identificatori pubblicitari a persone reali. Il rapporto descrive infatti anche attività riconducibili a un soggetto identificato dai ricercatori come DARK CARTOGRAPHER, che avrebbe sfruttato infrastrutture collegate a Discover-Tech per associare identificatori pubblicitari mobili a numeri telefonici, attraverso lo sfruttamento di vulnerabilità nelle reti di operatori telefonici.
Questa attività è oggetto di ulteriori approfondimenti e non va confusa con la prova che ogni utente esposto agli annunci sia stato identificato o compromesso.
Il problema delle piattaforme pubblicitarie
Uno degli aspetti più significativi dell’indagine riguarda il ruolo dell’industria pubblicitaria. Secondo Citizen Lab, Discover-Tech sarebbe comparsa per anni in elenchi di fornitori pubblicitari certificati o approvati, compresi registri mantenuti da Google e IAB Europe.
La presenza in questi elenchi contribuiva a presentare l’azienda come un operatore legittimo e ne facilitava l’accesso all’ecosistema pubblicitario. Eppure, secondo i ricercatori, le connessioni con soggetti attivi nel settore della sorveglianza informatica avrebbero meritato verifiche più approfondite.
Il caso mette in evidenza un limite strutturale della pubblicità programmatica: il sistema è progettato per distribuire annunci su una scala enorme, sfruttando una rete complessa di intermediari, piattaforme e fornitori. Questo rende difficile verificare ogni soggetto coinvolto e impedire che un attore malevolo utilizzi l’infrastruttura per finalità diverse da quelle dichiarate.
Il problema non riguarda quindi soltanto la sicurezza di un singolo sito web o di una determinata applicazione. Coinvolge l’intera catena della pubblicità digitale, compresi i sistemi di distribuzione degli annunci e i meccanismi di controllo dei fornitori.
Google e gli altri operatori intervengono
Dopo aver condiviso le proprie conclusioni con le aziende coinvolte, Citizen Lab riferisce che diversi operatori hanno adottato provvedimenti contro Discover-Tech.
Google ha collaborato con i ricercatori e ha dichiarato di aver interrotto l’accesso dell’azienda alle proprie piattaforme pubblicitarie, impedendole di acquistare e distribuire annunci attraverso il suo ecosistema. Google ha inoltre introdotto protezioni di Navigazione sicura per avvisare gli utenti che potrebbero raggiungere domini noti riconducibili agli attori coinvolti.
Anche IAB Europe ha rimosso Discover-Tech dai propri registri. Beeswax ha interrotto l’accesso alla propria piattaforma pubblicitaria, mentre Vungle, oggi parte di Liftoff, ha sospeso l’accesso durante una verifica. Eskimi ha invece bloccato gli account e i domini associati.
Questi interventi rappresentano un passo importante, ma non risolvono automaticamente il problema alla radice. Se l’infrastruttura pubblicitaria continua a consentire l’esecuzione di codice proveniente da soggetti terzi e la profilazione estremamente precisa degli utenti, meccanismi simili potrebbero essere riproposti attraverso altre aziende o altre piattaforme.
Come possiamo proteggerci?
Il rapporto di Citizen Lab non dimostra che tutti gli annunci online siano pericolosi, né che ogni utente sia esposto a questo tipo di attacco. Mostra però che la pubblicità può diventare una superficie d’attacco anche quando non si visitano deliberatamente siti sospetti.
Per ridurre i rischi è opportuno adottare alcune precauzioni:
- Mantenere aggiornati sistema operativo, browser e applicazioni, così da correggere le vulnerabilità che potrebbero essere sfruttate per installare spyware.
- Limitare il tracciamento pubblicitario, disattivando quando possibile la personalizzazione degli annunci e reimpostando o eliminando gli identificatori pubblicitari.
- Utilizzare strumenti affidabili per il blocco dei contenuti e dei tracker, tenendo presente che non garantiscono una protezione assoluta contro gli attacchi zero-click.
- Ridurre le autorizzazioni delle applicazioni e installare software soltanto da fonti affidabili.
- Prestare particolare attenzione alla sicurezza dei dispositivi utilizzati per attività sensibili, soprattutto per chi lavora nel giornalismo, nella difesa dei diritti umani o in altri contesti potenzialmente esposti a sorveglianza mirata.
Per le persone che potrebbero essere bersagli di spyware mercenario, le misure generiche potrebbero non essere sufficienti: in questi casi è preferibile rivolgersi a professionisti della sicurezza digitale e seguire le indicazioni specifiche fornite da organizzazioni specializzate.
La pubblicità online non è soltanto una questione di privacy
L’indagine di Citizen Lab mostra un lato poco visibile della pubblicità digitale. Un sistema progettato per individuare il pubblico più adatto a un annuncio può essere sfruttato anche per riconoscere dispositivi specifici, raccogliere informazioni e, in presenza di determinate vulnerabilità, distribuire software di sorveglianza senza richiedere alcuna azione da parte della vittima.
Il caso Discover-Tech solleva quindi interrogativi che vanno oltre la singola azienda: quante informazioni vengono condivise durante un’asta pubblicitaria? Chi controlla realmente i soggetti che partecipano a queste aste? E quali garanzie abbiamo che un’infrastruttura progettata per monetizzare la nostra attenzione non venga sfruttata per finalità molto più invasive?
Per chi si occupa di software libero, privacy e sovranità digitale, il messaggio è chiaro: la sicurezza non dipende soltanto dal software che installiamo o dai siti che scegliamo di visitare, ma anche dall’ecosistema di servizi e intermediari che opera dietro le quinte della nostra esperienza online.
Immagine di copertina generata con AI
