Immagine copertina generata con l’intelligenza artificiale
La pubblicità online può trasformarsi in uno strumento di sorveglianza e attacco informatico, arrivando a compromettere un dispositivo senza che il proprietario debba cliccare su un annuncio. È quanto emerge da un’indagine congiunta di Citizen Lab e Confiant, che ha individuato un sistema attraverso il quale l’azienda israeliana Discover-Tech avrebbe collaborato con società produttrici di spyware per distribuire annunci malevoli. Tra i bersagli individuati figurano anche dispositivi utilizzati da giornalisti di Al Jazeera. Si tratta della prima evidenza tecnica documentata dai ricercatori di un attacco zero-click veicolato attraverso la pubblicità mirata.
Attacchi zero-click attraverso la pubblicità online
La particolarità della tecnica individuata consiste nel fatto che non è necessario alcun intervento da parte della vittima. A differenza delle campagne di phishing tradizionali, nelle quali l’utente deve aprire un collegamento o scaricare un file, in questo caso può essere sufficiente visualizzare un annuncio pubblicitario per esporre il dispositivo a un tentativo di infezione.
La scoperta mette in luce una vulnerabilità particolarmente insidiosa: la pubblicità digitale, normalmente considerata un elemento ordinario della navigazione web, può diventare un canale per operazioni di sorveglianza informatica. Il problema è che l’utente potrebbe non avere alcun segnale evidente della minaccia e non disporre di un comportamento specifico da evitare per scongiurare l’attacco.
Il ruolo di Discover-Tech e della piattaforma Controlium
Al centro dell’indagine c’è Discover-Tech, società israeliana che si presenta come una normale agenzia pubblicitaria. Secondo Citizen Lab e Confiant, tuttavia, l’azienda avrebbe messo a disposizione dei propri partner una struttura tecnologica capace di distribuire annunci dannosi sul web e facilitare le attività dei gruppi che utilizzano spyware.
Il sistema si basa su una piattaforma chiamata Controlium, attraverso la quale sarebbe possibile profilare gli utenti, identificare i loro dispositivi e selezionare potenziali obiettivi. L’indagine riferisce che il sistema può utilizzare informazioni come l’indirizzo IP, l’identificativo pubblicitario del dispositivo mobile o quello del browser per individuare le persone da sottoporre a profilazione o tentativi di infezione.
Al Jazeera tra i bersagli delle campagne spyware
Tra i soggetti collegati alle attività di Discover-Tech figura Candiru, società israeliana specializzata in spyware e già inserita nella lista nera del governo statunitense. Secondo i ricercatori, nel 2024 e nel 2025 gli annunci riconducibili a Discover-Tech avrebbero contribuito a distribuire spyware legato a Candiru contro dispositivi utilizzati all’interno di Al Jazeera, emittente con sede in Qatar.
L’indagine indica che sarebbero stati presi di mira almeno 45 dispositivi riconducibili al network giornalistico nei due anni considerati. Il caso evidenzia i rischi che simili strumenti possono comportare per giornalisti e organizzazioni sensibili, soprattutto quando le attività di sorveglianza sfruttano canali pubblicitari apparentemente legittimi. La natura mirata delle campagne rende inoltre possibile selezionare gli obiettivi senza dover distribuire indistintamente il software dannoso a tutti gli utenti.
Le reazioni delle piattaforme pubblicitarie
Le conclusioni dell’indagine chiamano in causa anche le responsabilità dell’industria dell’advertising digitale. Citizen Lab e Confiant chiedono infatti di rafforzare i controlli di sicurezza sulle piattaforme pubblicitarie, affinché non possano essere sfruttate per veicolare strumenti di sorveglianza.
Dopo le segnalazioni, Google e Beeswax, società pubblicitaria di proprietà di Comcast, hanno rimosso Discover-Tech dalle rispettive piattaforme. Anche IAB Europe ha sospeso l’azienda dal proprio elenco dei fornitori approvati. Le misure mostrano come la sicurezza della pubblicità online non riguardi soltanto chi sviluppa gli annunci, ma anche gli intermediari che ne consentono la distribuzione e le organizzazioni che definiscono gli standard del settore.
Come ridurre i rischi degli spyware distribuiti tramite annunci
La natura degli attacchi zero-click limita l’efficacia delle precauzioni basate esclusivamente sull’attenzione degli utenti. Non cliccare su link sospetti resta importante, ma non è sufficiente quando il semplice caricamento di un annuncio può rappresentare il punto di ingresso dell’attacco.
Per le persone maggiormente esposte a operazioni di sorveglianza, i ricercatori raccomandano di utilizzare strumenti di blocco della pubblicità, disattivare il tracciamento pubblicitario e reimpostare regolarmente gli identificativi pubblicitari dei dispositivi mobili. Anche mantenere aggiornati sistemi operativi e browser costituisce una misura prudenziale, sebbene non garantisca una protezione assoluta contro ogni vulnerabilità.
L’indagine dimostra quanto sia importante rafforzare i controlli lungo l’intera filiera pubblicitaria: la possibilità di raggiungere un bersaglio attraverso annunci distribuiti sul web rende infatti più complessa l’individuazione delle minacce e richiede una collaborazione costante tra piattaforme, operatori del settore e ricercatori indipendenti.
Fonte: The Verge
