Pesquisadores afirmam que empresa israelense de publicidade usou anúncios online para distribuir spyware zero-click

A empresa israelense de publicidade Discover-Tech usou anúncios online comuns para rastrear pessoas e instalar spyware em seus dispositivos, conforme Reuters.

Era capaz de distribuir anúncios por uma vasta rede de sites e aplicativos, utilizando plataformas de publicidade operadas pela Google, Comcast e Yandex. Investigações independentes realizadas pelo Citizen Lab e pelo Confiant revelaram como a operação funcionava. Basta carregar um anúncio para expor os usuários à vigilância ou a softwares espiões, mesmo sem clicar nele.

Por que um anúncio malicioso foi suficiente para comprometer um dispositivo

Leilões de espaço publicitário em tempo real em milissegundos, compartilhando dados de dispositivo e localização com potenciais compradores. Alguns anúncios também executam código. O Citizen Lab chama a técnica de spyware zero-click de AdFection e associa a Discover-Tech à Candiru, uma fabricante israelense de spyware listada como negra pelos EUA em 2021.

Em 12 de abril de 2026, a Confiant encontrou um banner da MyIPInfo que redirecionava para uma infraestrutura vinculada à Candiru por meio da Amazon CloudFront. O anúncio carregou uma ferramenta de verificação falsa que continha cerca de 90 KB de JavaScript oculto. Isso permitiu coletar informações sobre o dispositivo e se comunicar por meio de um canal criptografado. A Confiant investigou a atividade entre abril e setembro de 2026.

45 máquinas infectadas na Al Jazeera, milhões a mais expostas

O Citizen Lab examinou quatro bilhões de registros de lances. Descobriu que a Discover-Tech havia reservado seus anúncios em pelo menos 120.000 sites online e em 75.000 aplicativos.

De acordo com a estimativa da Confiant, há pelo menos 10 milhões de anúncios entregues diariamente por meio do Discover-Tech. Seu cofundador, Jerome Dangu, afirmou “é muito provável que centenas de milhões de pessoas tenham sido impactadas pelo Discover-Tech.”

O Citizen Lab confirmou que o spyware Candiru comprometeu 45 máquinas Windows na Al Jazeera durante 2024–2025. A emissora declarou que “condena os ataques de espionagem direcionados a vários de seus funcionários.”

Os anúncios da Discover-Tech também são exibidos em redes associadas a agências governamentais e internacionais, incluindo o Pentágono, as Nações Unidas, a OTAN, a Comissão Europeia, a Agência Internacional de Energia Atômica e o Tribunal Penal Internacional. Os pesquisadores também detectaram anúncios da Discover-Tech em redes associadas às fabricantes de chips Nvidia, Broadcom e Micron.

No entanto, a exposição não significa necessariamente infecção. Diferentemente dos comprometimentos relatados na Al Jazeera, essas aparições não estabelecem que o spyware infectou com sucesso os dispositivos nessas instituições.

Google, IAB Europe e Beeswax cortam o acesso

A Google removeu a Discover-Tech de sua plataforma de publicidade “por violar sistematicamente nossas políticas.” A IAB Europe também retirou a empresa de anúncios de sua lista de fornecedores aprovados. A Beeswax, da Comcast, bloqueou seu acesso à plataforma.

As descobertas levantaram preocupações mais amplas sobre a segurança da publicidade online. O pesquisador do Citizen Lab, Wolfie Christl, alertou que “a forma como a publicidade online funciona hoje é uma ameaça sistêmica à segurança.”

Um mercado de $1.34 trilhões construído sobre a mesma infraestrutura

O mercado publicitário continua em crescimento, elevando as apostas para a segurança. A WARC espera que os gastos globais com publicidade alcancem US$ 1,34 trilhão em 2026. Nos EUA, a publicidade programática gerou um impressionante US$ 162,4 bilhões em 2025, segundo os dados da IAB. No entanto, as medidas de segurança têm sido incapazes de acompanhar o crescente uso da inteligência artificial no setor publicitário.

Pesquisas do IAB mostram que apenas cerca de 40% dos compradores de anúncios pesquisados já realizaram ou pretendem realizar alguma ação em relação aos riscos legais, de segurança e de dados relacionados à medição impulsionada por IA.

A Noruega recentemente multou a Xandr, pertencente à Microsoft, em 92 milhões de coroas norueguesas por compartilhar ilegalmente dados sensíveis do Grindr por meio de leilões de anúncios. Foi uma violação de privacidade, não um caso de spyware. O regulador Line Coll afirmou que a responsabilidade “não pode ser transferida para terceiros.”

O caso da Discover-Tech ocorre no momento em que as empresas de publicidade estão cada vez mais investindo em dados do consumidor e segmentação baseada em IA. Como anteriormente reportado pela Cryptopolitan, o Publicis Groupe assinou um acordo para comprar a LiveRamp por US$ 2,2 bilhões, aprimorando assim suas atividades de marketing baseadas em IA.

Embora o acordo não tenha relação com os ataques de spyware, ele mostra quão importantes se tornaram os dados e a automação para a indústria. As descobertas também levantam questões sobre se as medidas de segurança existentes estão acompanhando o ritmo.

O Citizen Lab pediu investigações contra a Discover-Tech e a Candiru, exercendo pressão sobre as plataformas de publicidade para melhorar a forma como filtram fornecedores e detectam anúncios maliciosos.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.