Citizen Lab: governi sfruttano la pubblicità online per spiare con spyware “zero-click”
Spyware Governativo Sfrutta Reti Pubblicitarie Globali per Attacchi “Zero-Click”, Rivelano Ricercatori
Ricercatori per la sicurezza informatica di Citizen Lab, l’unità per i diritti digitali, hanno denunciato che i produttori di spyware governativo stanno abusando delle reti pubblicitarie globali per prendere di mira e hackerare dispositivi, servendo annunci online malevoli.
Un nuovo rapporto pubblicato giovedì dal laboratorio dell’Università di Toronto, che indaga sulla sorveglianza e gli abusi dei diritti digitali, afferma che un’azienda israeliana chiamata Discover-Tech permette ai produttori di spyware di utilizzare la sua piattaforma pubblicitaria per colpire persone o dispositivi specifici quasi ovunque nel mondo con spyware capace di rubare dati in modo invisibile. Discover-Tech si presenta come una legittima agenzia pubblicitaria, ma funge da “ponte tra i fornitori di annunci e l’ecosistema di spyware mercenario”.
Citizen Lab ha indicato che almeno due produttori di spyware “zero-click”, Candiru e Bindecy, hanno utilizzato la piattaforma di Discover-Tech per colpire individui. Questi spyware forniscono prodotti di sorveglianza che possono infettare i dispositivi senza che la vittima debba aprire un messaggio o cliccare su un link. I ricercatori hanno scoperto che un attacco ha colpito almeno 45 computer Windows dell’organizzazione mediatica Al Jazeera, apparentemente hackerati nel 2024 e 2025 tramite lo spyware di Candiru dopo essere stati esposti ad annunci online contenenti codice malevolo.
Sebbene Citizen Lab non abbia chiarito quali governi fossero dietro gli attacchi, ha affermato che si tratta della prima conferma di attacchi spyware “zero-click” sostenuti da governi e veicolati tramite annunci online, mettendo potenzialmente a rischio un vasto numero di dispositivi in tutto il mondo. “Si è parlato molto della possibilità che gli annunci online possano essere usati per identificare e hackerare automaticamente bersagli con precisione millimetrica, ma ora, per la prima volta, abbiamo prove tecniche concrete che mostrano questo processo in azione”, ha dichiarato Bill Marczak, ricercatore senior di Citizen Lab, prima della pubblicazione del rapporto.
Gli hacker cercano da tempo modi per abusare dell’accesso alle reti pubblicitarie, in parte per la loro capacità di raggiungere quasi ogni dispositivo connesso a Internet a livello globale. Le reti pubblicitarie sono progettate per aiutare gli inserzionisti a indirizzare annunci specifici a particolari tipi di persone, dispositivi e organizzazioni, ma possono anche essere usate impropriamente per colpire individui o dispositivi specifici con codice malevolo. Sebbene gli attacchi di “malvertising” non siano una novità, l’uso di annunci online per permettere a potenti spyware governativi di hackerare silenziosamente i dispositivi rappresenta una notevole escalation.
Esperti di sicurezza e privacy incoraggiano da anni l’installazione di ad-blocker per prevenire la visualizzazione degli annunci. Tuttavia, l’ubiquità della pubblicità online rende difficile sfuggire completamente alle prese del settore. I ricercatori hanno rivelato che la piattaforma Controlium di Discover-Tech ha lasciato parte del suo codice sorgente esposto sulle pagine di login, consentendo ai ricercatori di ricreare il suo pannello di controllo basato sul web senza necessità di autenticazione. Questo pannello “sembra essere specificamente progettato per permettere di spingere contenuti malevoli a singoli utenti mirati insieme agli annunci”.
Citizen Lab ha anche scoperto che il sito di Discover-Tech aveva una sezione pubblicamente accessibile che permetteva di scaricare numerosi registri di accesso utente per la dashboard di Controlium senza password. Alcuni dettagli di accesso appartenevano ad almeno due dipendenti di Candiru, così come ad alcuni di Bindecy. Sono stati trovati anche miliardi di record di offerte pubblicitarie esposti sul sito web di Discover-Tech, che mostrano come i suoi annunci siano stati visualizzati su decine di migliaia di app mobili e siti web tra marzo e giugno 2026.
I registri delle offerte indicano che gli annunci sono stati mostrati su dispositivi utilizzati da forze armate, governi, infrastrutture critiche e agenzie cibernetiche nazionali. Non è chiaro, tuttavia, se la visualizzazione degli annunci abbia portato a una compromissione o infezione. Ricercatori della piattaforma di qualità degli annunci Confiant, che ha collaborato con Citizen Lab, hanno trovato prove che annunci potenzialmente malevoli sono stati mostrati in modo simile su dispositivi nelle reti dell’Agenzia Internazionale per l’Energia Atomica e della Corte Penale Internazionale.
Marczak di Citizen Lab ha avvertito che Discover-Tech è “sicuramente solo la punta dell’iceberg” e ha esortato le persone a prendere misure difensive. “Se potresti essere preso di mira in base a chi sei o a quello che fai, è ora di disabilitare il tracciamento degli annunci sui tuoi dispositivi o addirittura bloccare del tutto gli annunci”, ha concluso Marczak. Al Jazeera, Discover-Tech e Integrity Labs (produttore di Candiru) non hanno risposto alle richieste di commento riguardo agli attacchi.