Spyware entregue por anúncio, sem clique: Citizen Lab mostra ataque real contra a Al Jazeera
O laboratório chamou a técnica de “AdFection”. Os anúncios da empresa por trás dela apareceram em redes de governos de mais de 20 países, inclusive do Brasil.
Bastou o anúncio aparecer na tela. O Citizen Lab, laboratório de segurança digital da Universidade de Toronto, publicou na quinta-feira (15) um relatório que descreve, segundo os próprios pesquisadores, a primeira demonstração técnica de um spyware mercenário instalado “sem clique” por meio de publicidade direcionada em ataques reais. Os pesquisadores concluíram, com alta confiança, que aparelhos da rede de mídia Al Jazeera foram atacados e infectados com o spyware da israelense Candiru.
Como o ataque funciona
O relatório chama a técnica de “AdFection”. No centro dela está a Discover-Tech, empresa sediada em Israel que se apresentava como agência de publicidade. Ela comprava espaço em leilões de anúncios em tempo real, o sistema que decide em milissegundos qual propaganda aparece em um site ou aplicativo. Quando o anúncio era exibido, o identificador publicitário e o IP do aparelho iam para servidores da empresa. Se o aparelho fosse o alvo escolhido, recebia um código malicioso que explorava falhas e instalava o spyware; os demais não recebiam nada, o que ajudava a esconder a operação.
Segundo o BleepingComputer, que teve acesso aos detalhes do relatório, a Al Jazeera entregou evidências de ataques contra pelo menos 45 aparelhos entre 2024 e 2025, e a operação publicitária fez 3,77 bilhões de lances e venceu 442 milhões de leilões entre março e junho de 2026. O Citizen Lab ressalta que exibir um anúncio não significa infecção: na maioria dos casos, o risco comprovado é o de perfilamento.
Onde os anúncios apareceram, incluindo o Brasil
Os pesquisadores encontraram anúncios da Discover-Tech em redes de governos de mais de 20 países, entre eles Brasil, México e Uruguai, além de redes da OTAN, da ONU e de instituições da União Europeia. Os anúncios rodaram em aplicativos e sites populares, de apps de idiomas e de clima a grandes portais de notícias. A investigação, ainda em andamento, foi divulgada junto com uma apuração da empresa de segurança publicitária Confiant.
Depois do alerta, Google e IAB Europe tiraram a Discover-Tech de suas listas de fornecedores aprovados, e Google e Beeswax cortaram o acesso da empresa aos seus sistemas de anúncios. A Candiru já estava na lista de entidades sancionadas do Departamento de Comércio dos Estados Unidos.
Para o usuário comum, a lição é que o rastreamento publicitário também é uma porta de ataque. Manter sistema e navegador atualizados e limitar o rastreamento por anúncios nas configurações de privacidade do celular reduz a exposição; para jornalistas, ativistas e servidores públicos, o próprio relatório reforça o pedido de investigação nas redes atingidas.
