Pesquisadores encontram spyware que infecta celulares via anúncios sem nenhum clique

A Citizen Lab documentou pela primeira vez uma campanha de espionagem que usa o leilão de anúncios em tempo real para infectar dispositivos sem nenhuma interação da vítima.

A Citizen Lab, laboratório de pesquisa em segurança da Universidade de Toronto, revelou, em investigação publicada pela Wired, a primeira evidência técnica documentada publicamente de spyware infectando dispositivos através de anúncios digitais. Os pesquisadores batizaram a campanha de "AdFection". A investigação cobre ataques ocorridos ao longo de 2024 e 2025, com dados de leilão de anúncios coletados entre março e junho daquele ano, período anterior à publicação da reportagem.

Segundo o relatório, uma empresa de publicidade registrada em Israel, a Discover-Tech, teria conectado sua infraestrutura a servidores ligados à Candiru, desenvolvedora israelense de spyware mercenário. Dezenas de dispositivos foram infectados sem que a vítima precisasse clicar em nada, apenas navegando por apps e sites que exibiam anúncios da rede.

Como o ataque funciona na prática

Ataques zero-click são o alvo mais cobiçado de operações de espionagem porque instalam malware sem exigir nenhum erro do usuário. Até agora, essa categoria de ataque era associada quase exclusivamente a falhas em apps de mensagens e comunicação móvel.

O que a Citizen Lab encontrou é diferente: o vetor de infecção é o próprio sistema de leilão de anúncios em tempo real, o real-time bidding (RTB), que decide em milissegundos qual anúncio será exibido para cada usuário com base em dados de dispositivo, localização e histórico de navegação.

O AdFection permite que operadores hackeiem automaticamente indivíduos específicos com spyware mercenário enquanto usam aplicativos ou navegam na internet. Alguém que é hackeado dessa forma não notaria nada de errado. Na verdade, pode nem chegar a ver o anúncio.

AdFection allows operators to automatically hack specific individuals with mercenary spyware as they use apps or browse the internet. Someone who gets hacked like this would not see anything amiss. In fact, they might not even see any ad at all.Bill Marczak, pesquisador sênior da Citizen Lab

Segundo os pesquisadores, a Discover-Tech opera uma plataforma de anúncios chamada Controlium, capaz de desanonimizar, criar fingerprint e infectar automaticamente dispositivos assim que um anúncio é carregado. Analisando registros de leilão expostos publicamente no site da própria Discover-Tech, a Citizen Lab estima que anúncios com scripts de ataque apareceram em mais de 70 mil apps móveis e mais de 120 mil sites entre março e junho daquele ano, somando mais de um milhão de impressões ligadas à firma só em alguns aplicativos.

O caso Al Jazeera: dois anos de monitoramento

Durante 2024 e 2025, 45 dispositivos pertencentes à emissora Al Jazeera foram alvo de ataques zero-click entregues por anúncios, segundo a análise da Citizen Lab. Os dispositivos infectados tiveram contato com domínios ligados à Discover-Tech e, em seguida, se conectaram a infraestrutura associada à Candiru.

A Al Jazeera participou da investigação, compartilhando logs de rede dos dispositivos com os pesquisadores. Foi justamente esse material que permitiu reconstruir a cadeia de ataque: sem monitoramento de rede corporativo, episódios como esse tendem a passar despercebidos.

Os logs de rede da Al Jazeera foram essenciais para entender a natureza do ataque baseado em anúncios. Se o dispositivo pessoal de um usuário fosse alvo, digamos, enquanto conectado ao Wi-Fi de casa ou aos dados móveis, não haveria o mesmo nível de monitoramento de rede. Acho que a falta de relatos anteriores é, principalmente, uma questão de visibilidade: quem defende precisa estar no lugar certo, na hora certa, olhando para os dados certos.

The network logs from Al Jazeera were key in understanding the ad-based nature of that attack. If a user's personal device were targeted, say, while they were connected to their home Wi-Fi or mobile data, there's not going to be the same level of network monitoring there. So I think the lack of prior reporting is probably mainly a visibility issue: Defenders have to be in the right place at the right time, looking at the right data.Bill Marczak, pesquisador sênior da Citizen Lab

A pesquisa também identificou impressões de anúncios da Discover-Tech em redes ligadas à OTAN e às Nações Unidas, em corpos legislativos na Europa, em provedores de infraestrutura crítica na Austrália e em forças armadas e agências governamentais da Noruega e da Suécia. Nem todos os anúncios da firma foram necessariamente armados para distribuir spyware, mas o alcance da rede é o que preocupa os pesquisadores.

A resposta da indústria de ad tech

Após a investigação conjunta da Citizen Lab com a empresa de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → Confiant, três players centrais da cadeia de publicidade tomaram medidas:

• Google encerrou o cadastro da Discover-Tech em suas plataformas de anúncios e passou a exibir avisos do Safe Browsing para sites ligados ao grupo.
• IAB Europe, entidade que mantém a lista global de fornecedores de ad tech (GVL), suspendeu a Discover-Tech após uma auditoria de políticas.
• Beeswax, plataforma de publicidade programática da Comcast, removeu a Discover-Tech de sua rede após validação independente de um especialista terceirizado em segurança.

Após uma investigação conjunta com a Citizen Lab e a Confiant, o Google bloqueou a Discover-Tech de nossas plataformas de anúncios por violação sistemática de nossas políticas. Também configuramos avisos do Safe Browsing para ajudar a proteger pessoas que naveguem até sites ligados a esse grupo.

Following a joint investigation with Citizen Lab and Confiant, Google blocked Discover-Tech from our ad platforms for systematically violating our policies. We also set up Safe Browsing warnings to help protect people if they navigate to websites linked to this group.Porta-voz do Google

A Discover-Tech e seu CEO não responderam aos pedidos de comentário da Wired. A Integrity Partners, que acredita-se controlar os ativos da Candiru desde que a empresa foi sancionada pelo governo dos Estados Unidos em 2021, também não respondeu.

O que muda para quem constrói apps e integra SDKs de anúncios

Em resumo: se seu app monetiza com anúncios de terceiros, ele é, por definição, uma superfície de ataque que você não controla totalmente. O AdFection expõe um ponto cego estrutural: o SDK de ads roda dentro do seu processo, com acesso ao WebView e, em muitos casos, a permissões amplas do sistema, e você normalmente não audita o código que ele carrega em tempo de execução.

Alguns pontos práticos que a descoberta levanta para times mobile e de produto no Brasil:

• Vetar fornecedores de ad tech não é checklist, é processo contínuo. A Discover-Tech estava registrada em plataformas legítimas como Google Ads e IAB Europe antes de ser suspensa; confiar em certificação prévia não basta.
• Isolar o rendering de anúncios. Rodar WebViews de anúncios em processo separado, com permissões mínimas, reduz o raio de explosão caso um SDK seja comprometido.
• Monitorar tráfego de rede dos SDKs de ads em produção, não só em ambiente de testes, já que o comportamento malicioso pode ser direcionado a alvos específicos e nunca aparecer em QA.
• Revisar Content Security Policy e sandboxing em apps híbridos ou com WebView embutido, onde scripts de anúncio têm mais liberdade de execução.

A capacidade de entregar conteúdo individualizado e arbitrário para usuários específicos é uma marca registrada do ecossistema moderno de anúncios online, e é perfeitamente adequada à indústria de spyware mercenário. Até que essa arquitetura mude, ou as empresas de anúncios levem a sério a verificação de clientes, vamos continuar vendo esse tipo de abuso.

The ability to push individualized, arbitrary content at specific users is a hallmark of the modern online ads ecosystem, and is perfectly suited to the mercenary spyware industry. Until this architecture changes, or ad companies get serious about customer vetting, we're going to keep seeing this kind of abuse.Bill Marczak, pesquisador sênior da Citizen Lab

Para o usuário final, a recomendação dos próprios pesquisadores é limitada: bloquear anúncios de forma agressiva em todos os sites e plataformas é, hoje, a única defesa prática contra um vetor que não depende de clique.

O que ainda fica em aberto

Jason Kint, CEO da entidade de mídia digital Digital Content Next, resume o risco de forma mais ampla:

Embora raros e sofisticados, eu não ficaria totalmente surpreso em saber de ataques zero-click através de anúncios. Qualquer coisa que vá diretamente contra as expectativas dos usuários ou reduza a confiança na web aberta é profundamente preocupante.

Although rare and sophisticated, I wouldn't be entirely surprised to learn about zero-click attacks through ads. Anything that goes directly against users' expectations or lowers the trust in the open web is deeply concerning.Jason Kint, CEO da Digital Content Next

O caso também não esclarece se outros países ou plataformas de bidding programático brasileiras já tiveram impressões ligadas à Discover-Tech, já que a análise da Citizen Lab se concentrou em redes governamentais e de infraestrutura crítica na Europa, Austrália, Noruega e Suécia. Para quem desenvolve ou integra SDKs de monetização no Brasil, o episódio funciona como alerta de que a cadeia de fornecedores de ads precisa entrar no mesmo processo de revisão de segurança que qualquer outra dependência de terceiros no app.

Fonte: Wired