Spyware tramite annunci online: basta visualizzarli per essere colpiti
Il Citizen Lab dell’Università di Toronto ha ricostruito una campagna legata all’azienda israeliana Discover-Tech. Almeno 45 dispositivi di Al Jazeera sarebbero stati infettati senza alcun clic.
Un annuncio pubblicitario può diventare uno strumento di spionaggio anche senza che chi lo vede faccia clic: una campagna online avrebbe raggiunto milioni di dispositivi, consentendo di raccogliere dati sugli utenti e di infettarne alcuni con spyware. È quanto documenta un rapporto del Citizen Lab dell’Università di Toronto, consultato in anteprima dalle testate tedesche BR e netzpolitik.org.
«Nel nostro studio documentiamo per la prima volta prove tecniche concrete di un attacco con spyware attraverso la pubblicità online», afferma Wolfie Christl, ricercatore del Citizen Lab e coautore del rapporto.
Discover-Tech e gli annunci manipolati
Al centro dell’inchiesta c’è Discover-Tech, un’azienda israeliana che, secondo i ricercatori, avrebbe sfruttato il sistema pubblicitario online per diffondere su vasta scala annunci manipolati, anche attraverso app molto popolari. Il gruppo del Citizen Lab ha esaminato dati e sistemi interni non protetti dell’azienda, confrontandoli con informazioni pubbliche su malware conosciuti.
Gli annunci sarebbero apparsi su dispositivi collegati all’ONU, alla NATO, all’Unione europea e a governi, autorità e infrastrutture critiche di numerosi Paesi. Tra i possibili bersagli figurerebbero anche 20 testate giornalistiche internazionali e alcune delle maggiori aziende tecnologiche e produttrici di chip al mondo. La presenza degli annunci su dispositivi connessi alle reti di queste organizzazioni, precisano i ricercatori, non dimostra che siano stati infettati: sarebbero però stati raccolti almeno dati utili a costruire profili degli utenti.
Le infezioni con lo spyware di Candiru
Il rapporto documenta anche infezioni riuscite ai danni dell’emittente qatariota Al Jazeera. Tra il 2024 e il 2025, almeno 45 dispositivi sarebbero stati colpiti attraverso annunci online con lo spyware di Candiru, società che vende software di sorveglianza a governi e istituzioni statali. Al Jazeera ha fornito al Citizen Lab i registri interni che hanno permesso di ricostruire gli attacchi.
Un altro possibile obiettivo sarebbe stato il ministero degli Esteri dell’Arabia Saudita, secondo tracce tecniche ricostruite da BR e netzpolitik.org. L’ambasciata saudita non ha risposto alla richiesta di commento.
Candiru, azienda con sede in Israele, è stata acquisita nel 2025 dalla società d’investimento statunitense Integrity Partners ed era già stata associata in passato ad attività di spionaggio. Nel 2024, tra gli altri, si tentò di sorvegliare con un suo software il deputato europeo dei Verdi Daniel Freund, inviandogli un link via e-mail. Freund non lo aprì e riuscì così a proteggersi. «Un attacco tramite pubblicità online, che non richiede alcun clic, è ancora più subdolo», ha dichiarato in un’intervista a BR e netzpolitik.org.
Il ruolo della pubblicità personalizzata
Secondo il rapporto, Discover-Tech avrebbe fatto da intermediaria tra aziende di spionaggio come Candiru e il settore pubblicitario. La pubblicità personalizzata si basa su un continuo scambio di dati tra centinaia di società. Presentandosi come un partecipante legittimo a questo sistema, Discover-Tech avrebbe potuto mostrare annunci mirati nelle app e sui siti web. La sua piattaforma consentiva, secondo i ricercatori, di selezionare i bersagli in pochi clic, usando identificativi pubblicitari o indirizzi IP. Oltre a Candiru, il rapporto collega l’azienda ad altri due fornitori di spyware.
Tra marzo e giugno 2026, gli annunci diffusi da Discover-Tech sarebbero comparsi in oltre 75.000 app per dispositivi Apple e Android e su più di 120.000 siti web. Tra le applicazioni citate figurano Wetter Online, un’app meteo tedesca, Duolingo, il servizio di messaggistica Viber e le app di incontri Grindr e Badoo.
Secondo le inchieste di BR e netzpolitik.org, fino a febbraio 2025 Discover-Tech compariva nell’informativa sulla privacy di Wetter Online come uno degli oltre 800 partner con cui venivano scambiati dati. I fornitori delle app menzionate non hanno risposto alle richieste di commento delle due testate.
Le reazioni di Google e IAB
Per anni Discover-Tech è stata registrata come partner pubblicitario ufficiale di Google e dell’organizzazione di settore IAB Europe, senza apparentemente destare sospetti. Google ha dichiarato di averla rimossa dalle proprie piattaforme pubblicitarie per violazioni sistematiche delle regole. Anche IAB ha comunicato di averla cancellata dall’elenco dei concessionari pubblicitari, aggiungendo di non poter stabilire se l’azienda abbia installato spyware sui dispositivi degli utenti.
«La pubblicità online è un sistema guasto», afferma Christl. «Il modo in cui funziona oggi la pubblicità online rappresenta un unico, enorme rischio per la sicurezza: per gli Stati, il settore privato, la società civile e chiunque altro». Discover-Tech e Candiru non hanno risposto alle richieste di commento di BR e netzpolitik.org.
L’allarme delle autorità tedesche
Anche l’Ufficio federale tedesco per la protezione della Costituzione, l’agenzia che si occupa tra l’altro di contrastare lo spionaggio, ha segnalato un «notevole potenziale di rischio». In risposta a una richiesta di commento, ha dichiarato che, nel contesto del controspionaggio, gli annunci manipolati «costituiscono un’ulteriore modalità a disposizione di attori informatici diretti da Stati per attaccare i propri obiettivi».
