Un annuncio pubblicitario mirato può installare spyware sullo smartphone senza richiedere alcun clic. Il Citizen Lab dell’Università di Toronto ha confermato che la campagna AdFection ha infettato 45 dispositivi dell’organizzazione giornalistica Al Jazeera nel 2024 e 2025. Gli attacchi funzionavano su iOS e Android: bastava caricare un sito o aprire un’applicazione già installata. Per i ricercatori si tratta probabilmente della prima conferma di spyware mercenario distribuito attraverso pubblicità mirate con exploit zero-click.
Il malware è stato sviluppato e distribuito da Candiru, società ribattezzata Integrity Labs, secondo l’indagine. Gli utenti con profili di interesse per i suoi clienti ricevevano annunci contenenti JavaScript o altro codice che si collegava ai server di controllo dell’azienda. Da lì arrivava l’exploit, che veicolava il codice d’attacco quando la pubblicità appariva sul dispositivo. Questi attacchi zero-click risultano invisibili senza strumenti forensi specifici; la ricerca non descrive le vulnerabilità sfruttate né il malware finale installato.
A fornire gli annunci era Discover-Tech, azienda israeliana che si presenta come un operatore pubblicitario legittimo. Citizen Lab la descrive invece come un intermediario al servizio di diversi partner del settore dello spyware mercenario. La società mette in contatto chi acquista pubblicità con editori e sviluppatori di app che ricavano entrate dalla sua visualizzazione. Proprio questa posizione, secondo i ricercatori, le consente di fare da ponte tra i fornitori di annunci e l’ecosistema della sorveglianza commerciale.
Il meccanismo passa dalle aste pubblicitarie: gli inserzionisti offrono un compenso per raggiungere persone appartenenti a determinati gruppi. Identificativi mobili, posizione, indirizzi IP e altre tracce permettono agli intermediari di costruire profili dettagliati di milioni di utenti. Citizen Lab ha ottenuto oltre 4 miliardi di registrazioni relative alle aste gestite da Discover-Tech. I dati mostrano che, tra marzo e giugno 2026, i suoi annunci sono apparsi in oltre 70.000 app e più di 120.000 siti web.
La società figurava tra i fornitori certificati o verificati di Google e IAB Europe e utilizzava i sistemi di consenso previsti dal GDPR per raggiungere utenti nell’Unione europea. Aveva inoltre distribuito pubblicità attraverso reti come Google, Yandex e Beeswax. L’indagine colloca le impression pubblicitarie di Discover-Tech anche su reti della NATO, delle Nazioni Unite e di organismi legislativi europei, oltre che presso fornitori di infrastrutture critiche australiani, forze armate e agenzie governative di Norvegia e Svezia.
Le piattaforme hanno già adottato diverse contromisure. Google e IAB Europe hanno rimosso Discover-Tech dai rispettivi registri dei fornitori; Google ha anche interrotto il suo accesso alle piattaforme di scambio pubblicitario. Beeswax l’ha esclusa dalla propria piattaforma di acquisto di annunci. Vungle, parte di Liftoff, ha sospeso l’accesso durante una verifica, mentre Eskimi ha bloccato account e domini della società. Gli interventi coinvolgono quindi sia l’accreditamento dell’intermediario sia gli strumenti con cui comprava e distribuiva pubblicità.
Per Citizen Lab, gli abusi documentati mostrano falle strutturali nel sistema della pubblicità online, incapace di individuare o prevenire le attività descritte. L’avvertimento riguarda direttamente le organizzazioni giornalistiche: i ricercatori indicano il rischio di attacchi alle redazioni e ai singoli giornalisti, ai responsabili editoriali e agli altri dipendenti. La distribuzione di spyware attraverso gli annunci viene inoltre descritta come un rischio per gli Stati e per la società civile, oltre che per le persone prese di mira.
Il laboratorio chiede a operatori pubblicitari e autorità pubbliche misure concrete per prevenire campagne analoghe. Sul piano operativo, le misure indicate per ridurre l’esposizione comprendono l’uso di ad blocker, il ripristino dell’identificativo pubblicitario nelle impostazioni di iOS e Android e l’installazione di sistemi di blocco degli annunci sulle reti domestiche o aziendali. A questi interventi si aggiunge l’installazione tempestiva degli aggiornamenti: la protezione coinvolge così sia i dispositivi individuali sia le reti attraverso cui si accede ai contenuti.