Citizen Lab prova que anúncios instalavam spyware sem um único clique

Um anúncio online pode trazer mais do que uma imagem. Pode trazer código, e os investigadores do Citizen Lab, da Universidade de Toronto, demonstraram agora que esse código pode ser usado para instalar spyware no dispositivo de uma pessoa escolhida, sem que esta tenha de tocar no ecrã. O laboratório chama à técnica AdFection. Quem fosse pirateado desta forma «não veria nada de suspeito», disse à Wired Bill Marczak, investigador sénior. «Na verdade, talvez nem sequer visse anúncio algum.»

Isto é relevante para quem tem o telemóvel cheio de aplicações gratuitas. Os ataques sem interação têm explorado sobretudo vulnerabilidades em aplicações de mensagens, que as empresas podem corrigir. Este ataque aproveitou o mecanismo habitual que determina que anúncio vemos: um leilão que decorre numa fração de segundo sempre que uma aplicação ou página web carrega e que já transmite o identificador publicitário do dispositivo, o endereço IP e informações sobre o telemóvel.

No centro da operação está a Discover-Tech, uma empresa registada em Israel que se apresentava como uma empresa de publicidade. Segundo o relatório, a sua plataforma, Controlium, permitia aos clientes selecionar um alvo específico através do identificador publicitário, de um cookie do navegador ou do endereço IP e enviar código para esse dispositivo assim que um anúncio era apresentado. Todos os outros recebiam um anúncio normal. O Citizen Lab associa, com elevado grau de confiança, uma série de ataques à rede de notícias Al Jazeera à Candiru, uma empresa de spyware que agora se chama Integrity Labs. Foram visados pelo menos 45 dispositivos dentro da estação televisiva, e um computador Windows infetado revelou um ficheiro que apontava para os servidores da Candiru.

A forma como os investigadores conseguiram entrar no sistema é quase cómica. A página de início de sessão da Controlium disponibilizava o código-fonte completo do próprio painel de controlo, pelo que a equipa guardou a página, cortou as ligações a servidores externos e ativou todos os ecrãs. Um servidor da Discover-Tech também deixou expostos quase quatro mil milhões de registos de licitações publicitárias. Estes mostram anúncios com uma etiqueta de script do atacante em 75 373 aplicações para Android e iOS e em 120 768 sites. Surgem nomes conhecidos: o serviço de mensagens Viber apresentou mais de 700 000 desses anúncios no Android, que também apareceram no Yahoo Mail, no Opera Mini e no Duolingo.

Estes números devem ser analisados com cautela. O Citizen Lab sublinha que ver um anúncio da Discover-Tech no ecrã não significa que o telemóvel tenha sido pirateado. Na maioria dos casos, o servidor não enviou qualquer código, e os dados das licitações abrangem apenas uma das plataformas publicitárias da empresa, ao longo de quatro meses. O Citizen Lab não revelou que governos pagaram pela operação contra a Al Jazeera, e a sua conclusão de que os anúncios chegaram a redes da NATO, das Nações Unidas e de várias instituições europeias demonstra o alcance da operação, não infeções confirmadas. Na Noruega, os anúncios chegaram às redes do parlamento e da polícia; na Suécia, às das forças armadas e do operador nacional da rede elétrica. As medidas de proteção ao alcance das pessoas comuns são limitadas. O conselho de Marczak para quem possa ser visado «por causa de quem é ou do que faz» é desativar o rastreio publicitário ou bloquear completamente os anúncios.

A indústria publicitária começou a reagir. A Google afirma ter bloqueado a Discover-Tech nas suas plataformas publicitárias, na sequência de uma investigação conjunta com o Citizen Lab e a empresa de segurança Confiant, e ter acrescentado avisos do Safe Browsing para sites associados ao grupo. A IAB Europe suspendeu a empresa da sua lista de fornecedores de publicidade aprovados, e a Beeswax, detida pela Comcast, removeu-a da sua plataforma. A Discover-Tech não respondeu à Wired nem à TechCrunch.

O Citizen Lab publicou o relatório a 15 de outubro de 2026. O documento analisa os ataques à Al Jazeera em 2024 e 2025 e dados de licitações recolhidos entre março e junho de 2026. Está para breve um segundo relatório sobre um grupo distinto, a que o laboratório chama DARK CARTOGRAPHER, que, segundo o Citizen Lab, usou a mesma infraestrutura para associar os identificadores publicitários dos telemóveis aos respetivos números de telefone, explorando vulnerabilidades nas operadoras móveis de mais de 30 países.

Marczak considera que a Discover-Tech é «certamente apenas a ponta do icebergue». A equipa não precisou de procurar muito para encontrar os anúncios. Estes apareceram nos ecrãs dos próprios investigadores enquanto liam os sites da CBC e do Yahoo e jogavam Sudoku num dispositivo Android.

Etiquetas: cibersegurança, AdFection, Candiru, Citizen Lab, Discover-Tech, publicidade online