Secondo i ricercatori, la società di ad-tech Discover-Tech ha usato annunci mirati per diffondere spyware

L'azienda pubblicitaria israeliana Discover-Tech ha utilizzato normali annunci online per tracciare le persone e installare spyware sui loro dispositivi, come indicato da Reuters.

Era in grado di distribuire annunci pubblicitari su una vasta rete di siti web e app utilizzando piattaforme pubblicitarie gestite da Google, Comcast e Yandex. Indagini indipendenti condotte da Citizen Lab e Confiant hanno rivelato il funzionamento dell'operazione. Il semplice caricamento di un annuncio poteva esporre gli utenti a sorveglianza o spyware, anche senza fare clic su di esso.

Perché un annuncio infetto era sufficiente per compromettere un dispositivo

Aste di asta per la vendita in tempo reale degli spazi pubblicitari in millisecondi, condividendo i dati su dispositivo e posizione con potenziali acquirenti. Alcuni annunci eseguono anche del codice. Citizen Lab definisce la tecnica di spyware zero-click AdFection e collega Discover-Tech a Candiru, un produttore israeliano di spyware inserito negli Stati Uniti nella lista nera nel 2021.

Il 12 aprile 2026, Confiant ha trovato un banner MyIPInfo che reindirizzava a un'infrastruttura collegata a Candiru tramite Amazon CloudFront. L'annuncio caricava uno strumento di verifica falso contenente circa 90 KB di JavaScript nascosto. Ciò consentiva di raccogliere informazioni sul dispositivo e comunicare attraverso un canale crittografato. Confiant ha indagato sull'attività tra aprile e settembre 2026.

45 macchine infette ad Al Jazeera, milioni di altre esposte

Citizen Lab ha esaminato quattro miliardi di record di aste. Ha scoperto che Discover-Tech aveva prenotato i propri annunci su almeno 120.000 siti web e in 75.000 applicazioni.

Secondo le stime di Confiant, vengono consegnati almeno 10 milioni di annunci al giorno tramite Discover-Tech. Il cofondatore Jerome Dangu ha dichiarato “è molto probabile che centinaia di milioni di persone siano state coinvolte da Discover-Tech.”

Citizen Lab ha confermato che lo spyware Candiru ha compromesso 45 macchine Windows presso Al Jazeera durante il periodo 2024–2025. L'emittente ha affermato di “condannare gli attacchi con spyware rivolti a diversi membri del suo staff.”

Le pubblicità di Discover-Tech vengono inoltre mostrate su reti associate ad agenzie governative e internazionali, tra cui il Pentagono, le Nazioni Unite, la NATO, la Commissione europea, l'Agenzia internazionale per l'energia atomica e la Corte penale internazionale. I ricercatori hanno inoltre rilevato annunci di Discover-Tech su reti associate ai produttori di chip Nvidia, Broadcom e Micron.

Tuttavia, l'esposizione non implica necessariamente un'infezione. A differenza delle violazioni segnalate ad Al Jazeera, queste apparizioni non dimostrano che lo spyware abbia infettato con successo i dispositivi presso quelle istituzioni.

Google, IAB Europe e Beeswax hanno revocato l'accesso

Google ha rimosso Discover-Tech dalla propria piattaforma pubblicitaria "per aver violato sistematicamente le nostre policy". Anche IAB Europe ha rimosso l'azienda di advertising dalla sua lista di fornitori approvati. Comcast’s Beeswax ha bloccato il suo accesso alla piattaforma.

I risultati hanno sollevato preoccupazioni più ampie sulla sicurezza della pubblicità online. Il ricercatore di Citizen Lab Wolfie Christl ha avvertito che "il modo in cui funziona oggi la pubblicità online rappresenta una minaccia sistemica alla sicurezza."

Un mercato da $1.34 trilioni costruito sulle stesse fondamenta

Il mercato pubblicitario continua a crescere, aumentando la posta in gioco per la sicurezza. WARC prevede che la spesa pubblicitaria globale raggiungerà i 1,34 trilioni di dollari nel 2026. Negli Stati Uniti, la pubblicità programmatica ha generato uno sbalorditivo 162,4 miliardi di dollari nel 2025, secondo i dati IAB. Tuttavia, le misure di sicurezza non sono riuscite a tenere il passo con l'aumentata applicazione dell'intelligenza artificiale nel settore pubblicitario.

La ricerca IAB mostra che solo circa il 40% degli acquirenti di annunci intervistati ha già intrapreso o intende intraprendere azioni relative a rischi legali, di sicurezza e dei dati legati alla misurazione basata sull'IA.

La Norvegia ha recentemente multato Xandr, di proprietà di Microsoft per 92 milioni di corone norvegesi per aver condiviso illegalmente dati sensibili di Grindr attraverso aste pubblicitarie. Si è trattato di una violazione della privacy, non di un caso di spyware. Il regolatore Line Coll ha dichiarato che la responsabilità "non può essere trasferita ad altri".

Il caso Discover-Tech si inserisce in un contesto in cui le aziende pubblicitarie stanno investendo sempre di più nei dati dei consumatori e nel targeting basato sull'IA. Come precedentemente riportato da Cryptopolitan, Publicis Groupe ha firmato un accordo per l'acquisizione di LiveRamp per 2,2 miliardi di dollari, potenziando così le sue attività di marketing basate sull'IA.

Sebbene l'accordo non abbia alcuna connessione con gli attacchi di spyware, dimostra quanto i dati e l'automazione siano diventati importanti per il settore. Le scoperte sollevano anche interrogativi sul fatto che le misure di sicurezza esistenti tengano il passo.

Citizen Lab ha chiesto indagini su Discover-Tech e Candiru, esercitando pressione sulle piattaforme pubblicitarie affinché migliorino la modalità di screening dei fornitori e individuino annunci malevoli.