Um novo relatório do Citizen Lab revelou um software de espionagem chamado AdFection, capaz de infectar telefones e computadores simplesmente ao exibir um anúncio malicioso, sem que a vítima precise clicar em um link ou abrir um arquivo. Os pesquisadores descrevem isso como a primeira confirmação de ataques de espionagem patrocinados por governos entregues por meio de anúncios online e operando no estilo "sem clique" («zero-click»).
De acordo com o relatório, a tecnologia foi desenvolvida pela empresa israelense Discover-Tech, que se apresenta como uma empresa de publicidade legítima. O sistema foi usado para atingir jornalistas e funcionários da rede Al Jazeera, além de autoridades e funcionários de instituições e organizações que incluem a OTAN, a Comissão Europeia, a NVIDIA e a Arm.
Como os anúncios se transformaram em um canal de espionagem?
A Discover-Tech explorou o sistema de leilão em tempo real usado em publicidade direcionada, que permite aos anunciantes competir para exibir anúncios a usuários específicos. Segundo o Citizen Lab, essa infraestrutura foi usada em vez disso para identificar usuários ou desmascarar sua identidade e, em seguida, selecionar alvos específicos, antes de incorporar código malicioso em anúncios que pareciam comuns.
A gravidade do método reside na ampla extensão da rede de anúncios; a organização afirmou que anúncios vinculados ao sistema foram exibidos 442 milhões de vezes em mais de 120.000 sites, incluindo a BBC e o The New York Times, e aplicativos como Duolingo, Badoo e Grindr. Os anúncios também apareceram em dispositivos usados por forças armadas, governos, infraestruturas críticas e agências nacionais de segurança cibernética.
Ação do Google e perguntas em aberto
O Google foi uma das plataformas de publicidade visadas por essa tecnologia, mas baniu a Discover-Tech de sua lista global de fornecedores após uma investigação conjunta com o Citizen Lab e a empresa Confiant. O Google afirmou que a empresa foi bloqueada de suas plataformas por violar suas políticas de forma sistemática.
Os pesquisadores também encontraram registros de login no site da Discover-Tech contendo dados pertencentes a funcionários da empresa de espionagem Candiru. A Discover-Tech e outras partes mencionadas no esquema não comentaram até o momento da publicação.
Por que esta notícia importa?
A revelação mostra que o modelo de publicidade digital, que alcança usuários através de um vasto número de sites e aplicativos, pode se transformar em um canal de infecção que não requer comportamento evidente por parte da vítima. Isso amplia o escopo dos riscos em comparação com ataques baseados em phishing ou download de arquivos, mas não prova que todo anúncio ou plataforma de publicidade esteja vulnerável da mesma forma; o relatório foca em um ecossistema específico, em uma empresa específica e em investigações cujos detalhes completos ainda não foram divulgados.
O pesquisador do Citizen Lab Bill Marczak afirmou que o que foi revelado pode ser "apenas a ponta do iceberg", apelando para que pessoas que possam ser visadas devido à sua identidade ou trabalho desativem o rastreamento de anúncios ou bloqueiem anúncios. Permanecem sem respostas completas no material disponível perguntas sobre a extensão da disseminação da tecnologia, o número de dispositivos efetivamente infectados e as partes por trás das operações de uso.