Spyware zero-click servito tramite pubblicità mirate: come funziona AdFection

La pubblicità online rappresenta una componente essenziale dell’economia digitale, ma può trasformarsi in un canale pericoloso quando viene sfruttata da operatori interessati alla sorveglianza informatica.

Un’indagine del Citizen Lab, laboratorio di ricerca dell’Università di Toronto, ha documentato una tecnica denominata AdFection, capace di veicolare spyware attraverso annunci pubblicitari senza richiedere alcuna interazione da parte della vittima. Il caso solleva interrogativi sulla sicurezza delle piattaforme pubblicitarie e sull’efficacia dei controlli applicati agli inserzionisti.

Al centro dell’inchiesta figura Discover-Tech, società israeliana che, secondo i ricercatori, avrebbe facilitato la distribuzione di software spia mediante strumenti concepiti per raggiungere destinatari selezionati. I risultati mostrano come un’infrastruttura commerciale legittima possa essere sfruttata per finalità offensive.

AdFection, come funziona l’attacco tramite annunci

Il meccanismo sfrutta il funzionamento delle reti pubblicitarie digitali, nelle quali le inserzioni vengono distribuite attraverso sistemi automatizzati. Gli annunci possono contenere codice eseguibile nel browser o nell’applicazione che li visualizza, una caratteristica normalmente impiegata per gestire contenuti e attività pubblicitarie, ma che diventa rischiosa in presenza di componenti malevole.

Secondo il rapporto, Discover-Tech utilizzava una piattaforma chiamata Controlium, attraverso la quale era possibile individuare dispositivi specifici usando identificatori pubblicitari e indirizzi IP. Quando l’inserzione raggiungeva il destinatario selezionato, il codice incorporato contattava l’infrastruttura della società, che poteva rispondere inviando ulteriori istruzioni. La catena poteva quindi arrivare a sfruttare vulnerabilità del dispositivo per installare uno spyware.

L’aspetto più insidioso consiste nell’assenza di un gesto esplicito da parte dell’utente. Non occorre premere sull’annuncio né scaricare manualmente un allegato sospetto: la semplice visualizzazione può avviare la sequenza malevola, anche quando la pubblicità viene caricata in secondo piano. Inoltre, se il codice dannoso viene fornito soltanto ai bersagli prescelti, i controlli di sicurezza che esaminano gli annunci possono incontrare maggiori difficoltà nell’individuarlo.

L’indagine ha ricostruito attacchi contro dispositivi appartenenti alla rete internazionale Al Jazeera, collegandoli con elevata confidenza allo spyware di Candiru. I ricercatori hanno esaminato i registri delle comunicazioni per ricostruire il percorso seguito dai dispositivi compromessi. Non è stato invece possibile identificare con certezza il soggetto che avrebbe commissionato le operazioni.

Le responsabilità del settore pubblicitario e i rischi

La portata dell’inchiesta va oltre il singolo episodio. L’analisi di circa quattro miliardi di registrazioni delle aste pubblicitarie ha mostrato che gli annunci riconducibili a Discover-Tech erano comparsi su quasi 200.000 siti web e applicazioni in diversi Paesi. Questo dato evidenzia quanto le reti di distribuzione possano amplificare gli abusi quando i controlli sui soggetti coinvolti risultano insufficienti.

Un elemento particolarmente significativo riguarda la posizione della società nell’ecosistema commerciale: Discover-Tech aveva figurato negli elenchi di fornitori approvati da Google e dall’associazione IAB Europe. Dopo le segnalazioni, diverse aziende del settore hanno interrotto o sospeso i rapporti con essa. La vicenda dimostra che l’accreditamento commerciale, da solo, non garantisce l’assenza di comportamenti pericolosi.

Per gli utenti, il problema è anche legato alla privacy. Gli identificatori pubblicitari e le informazioni tecniche trasmesse durante la distribuzione degli annunci possono contribuire a individuare singoli dispositivi, rendendo possibile una selezione molto precisa dei bersagli. Per questo, il rischio non riguarda esclusivamente l’installazione di software spia, ma anche l’impiego improprio dei dati raccolti attraverso normali attività online.

La risposta richiede quindi una responsabilità condivisa tra intermediari pubblicitari, sviluppatori, organismi di controllo e ricercatori indipendenti. La trasparenza sui criteri di ammissione degli inserzionisti e la capacità di verificare i comportamenti effettivi delle campagne diventano elementi centrali per rendere l’ecosistema digitale più affidabile.