AdFection: Citizen Lab descobre spyware distribuído por meio de anúncios

O Citizen Lab, um grupo de pesquisa da Universidade de Toronto, diz que uma empresa israelense usou anúncios online direcionados para fazer chegar spyware a pessoas escolhidas sem um único clique. O relatório do grupo, publicado em 15 de outubro de 2026, chama a técnica de AdFection. É a primeira demonstração técnica pública de spyware mercenário distribuído por meio de anúncios, informa o CyberScoop. Spyware mercenário significa ferramentas comerciais de invasão vendidas a clientes pagantes. A descoberta transforma espaços publicitários comuns em sites e apps em uma rota de ataque.

Como o AdFection funciona

A empresa, Discover-Tech, comprou espaço publicitário por meio de leilões de anúncios comuns, segundo o relatório do Citizen Lab. Seus anúncios carregavam um pequeno script que funcionava em quatro etapas:

1. Identificar quem vê o anúncio. O script enviava o ID de publicidade e o endereço IP do dispositivo para um servidor da Discover-Tech. Um ID de publicidade é o código de rastreamento que um navegador ou um celular compartilha com empresas de publicidade.
2. Escolher os alvos. O servidor verificava cada ID e cada endereço. Quem não estava na lista recebia uma resposta vazia.
3. Executar código. Os alvos escolhidos recebiam JavaScript que rodava automaticamente. Nenhum clique era necessário.
4. Passar adiante. Os dispositivos infectados então contatavam servidores ligados à Candiru, uma fabricante de spyware que hoje usa a marca Integrity Labs.

A Discover-Tech mantinha o código malicioso longe das empresas de publicidade das quais comprava, diz o relatório. Ela vendia o serviço por meio de uma plataforma chamada Controlium. Segundo o CyberScoop, a Controlium permite que parceiros “desanonimizem, identifiquem por impressão digital e infectem automaticamente dispositivos” quando um anúncio aparece.

Quem foi alvo

O Citizen Lab liga pelo menos 45 dispositivos da Al Jazeera, a rede de notícias, ao spyware da Candiru distribuído dessa forma em 2024 e 2025. As fontes divergem no detalhe. O TechCrunch informa que 45 computadores com Windows foram hackeados. O Citizen Lab diz que os dispositivos foram alvo, e que analisou um arquivo do Windows de um dispositivo comprometido.

O Citizen Lab ainda não pode dizer quem encomendou os ataques, informa o CyberScoop.

A Confiant, uma empresa de segurança em publicidade, conduziu sua própria investigação junto com o Citizen Lab. Ela encontrou sinais de anúncios da Discover-Tech em redes sensíveis, incluindo as do Departamento de Defesa dos EUA, da Agência Internacional de Energia Atômica e do Tribunal Penal Internacional. Ver um anúncio não significa que um dispositivo foi infectado, observa o Citizen Lab.

Até onde os anúncios chegaram

A equipe de pesquisa obteve dados de lances da MyDSP, uma das plataformas de compra de anúncios que a Discover-Tech usava. Entre março e junho de 2026, os dados mostram:

Métrica	Número
Lances de anúncios feitos	3.770.286.576
Lances vencidos	441.954.291 (11,7%)
Sites alcançados	120.768
Apps móveis alcançados	75.373
Parcela dos lances dentro de apps	76,7%
Gasto aproximado	US$ 109.091

O tráfego da MyDSP veio principalmente da bolsa de anúncios do Yandex (67,4%), do Google Ad Manager (24,74%) e da Vungle (7,24%), segundo o relatório.

Parte do próprio sistema da Discover-Tech ficou aberta, informa o TechCrunch. A equipe de pesquisa conseguiu baixar sem senha registros de login das contas de usuário, incluindo os de algumas pessoas que trabalham na Candiru e na Bindecy. A Bindecy é uma empresa de hacking que o relatório liga à Discover-Tech.

Como o setor de publicidade reagiu

Várias empresas agiram antes da publicação do relatório, diz o Citizen Lab:

• Google cortou o acesso da Discover-Tech à sua bolsa de anúncios e adicionou proteções no Safe Browsing.
• IAB Europe, uma entidade do setor de publicidade, removeu a Discover-Tech da sua lista de fornecedores.
• Vungle, que pertence à Liftoff, suspendeu todo o acesso da Discover-Tech durante uma revisão.
• Beeswax removeu a Discover-Tech da sua plataforma, e Eskimi bloqueou permanentemente as contas da Discover-Tech.

A Discover-Tech, a Candiru e a Bindecy não responderam ao CyberScoop.

Bill Marczak, Senior Researcher do Citizen Lab, disse ao TechCrunch que “agora, pela primeira vez, temos evidências técnicas concretas mostrando esse processo em ação”. Marczak chamou a Discover-Tech de “com certeza apenas a ponta do iceberg”.

“A publicidade digital está quebrada”, disse Wolfie Christl, Senior Researcher do Citizen Lab, ao CyberScoop.

O que isso significa para desenvolvedores

Para equipes que criam apps, mantêm sites financiados por anúncios ou gerenciam dispositivos da empresa:

• Trate scripts de anúncios como código não confiável. Qualquer espaço publicitário pode executar o JavaScript de um comprador. Isole os frames de anúncios e limite o que scripts de terceiros podem acessar nas suas páginas.
• Bloqueie anúncios em dispositivos de trabalho. O Citizen Lab aconselha organizações a bloquear anúncios e rastreamento no gateway da rede e nos dispositivos de trabalho. Use o gerenciamento de dispositivos para tirar os celulares da equipe da segmentação de anúncios.
• Limite os IDs de publicidade. O Citizen Lab orienta os usuários a redefinir regularmente o ID de publicidade do celular e a desativar o rastreamento de anúncios. “É hora de desativar o rastreamento de anúncios nos seus dispositivos”, disse Marczak ao TechCrunch.
• Avalie seus parceiros de publicidade. O Citizen Lab pede que empresas de publicidade verifiquem para quem vendem e voltem a auditar seus fornecedores ao longo do tempo. Quem administra sites e apps deve perguntar às suas redes de anúncios como elas avaliam os compradores.
• Observe o tráfego depois que os anúncios carregam. O Citizen Lab sugere monitorar o tráfego de rede ligado às impressões de anúncios. Uma conexão inesperada logo depois que um anúncio aparece é um sinal de alerta.