Plataforma de publicidade serve de ponte para vigilância mercenária
Pesquisadores do Citizen Lab, da Universidade de Toronto, publicaram relatório nesta quinta-feira detalhando como a empresa israelense Discover-Tech permite que fabricantes de spyware governamental utilizem sua rede publicitária para alvejar dispositivos específicos em qualquer parte do mundo. A empresa se apresenta como uma firma legítima de anúncios, mas atua como uma ponte entre fornecedores de publicidade e o ecossistema de spyware mercenário.
Dois fabricantes de spyware identificados na operação
O estudo confirma que ao menos dois fabricantes de spyware zero-click, Candiru e Bindecy, utilizaram a plataforma Controlium da Discover-Tech para distribuir código malicioso. Ambos fornecem produtos de vigilância capazes de infectar dispositivos sem que a vítima precise abrir uma mensagem ou clicar em um link, técnica conhecida como exploração sem interação do usuário.
Ataque contra Al Jazeera comprometeu dezenas de computadores
Os pesquisadores documentaram um incidente que afetou pelo menos 45 computadores Windows da organização de mídia Al Jazeera. Os dispositivos foram comprometidos entre 2024 e 2025 após exposição a anúncios online carregados com o spyware da Candiru. Ainda não está claro quais governos estariam por trás da campanha, mas esta é a primeira confirmação técnica de spyware governamental zero-click sendo entregue via publicidade online.
Havia muita especulação de que anúncios online poderiam ser usados para identificar e hackear alvos com precisão cirúrgica, mas agora, pela primeira vez, temos evidências técnicas concretas mostrando esse processo em ação.
Bill Marczak, pesquisador sênior do Citizen Lab
Código exposto revelou painel de controle e credenciais
A investigação teve acesso ao painel de controle da Controlium porque parte do código-fonte estava exposta nas páginas de login, permitindo a recriação do dashboard sem autenticação. A interface parece desenhada especificamente para empurrar conteúdo malicioso a usuários individuais junto aos anúncios. Além disso, uma seção pública do site vazou registros de login de funcionários da Candiru e da Bindecy, bem como bilhões de registros de lances de anúncios entre março e junho de 2026.
Alcance global atinge infraestruturas sensíveis
Os registros de lances mostram que os anúncios foram exibidos em dezenas de milhares de aplicativos móveis e sites, alcançando dispositivos usados por militares, governos, infraestrutura crítica e agências nacionais de cibersegurança. A plataforma de qualidade de anúncios Confiant, parceira na investigação, encontrou evidências de anúncios potencialmente maliciosos em redes da Agência Internacional de Energia Atômica e do Tribunal Penal Internacional, embora não haja confirmação de infecção bem-sucedida.
Especialistas recomendam bloqueio total de anúncios
Marczak alerta que a Discover-Tech é provavelmente apenas a ponta do iceberg e insta alvos potenciais a desativar o rastreamento de anúncios ou bloqueá-los completamente. A ubiquidade da publicidade online torna difícil escapar totalmente do alcance da indústria, mas o uso de bloqueadores permanece a principal medida defensiva acessível.
Al Jazeera não respondeu aos pedidos de comentário sobre as invasões. A Discover-Tech e a Integrity Labs, fabricante da Candiru, também não se manifestaram.
Com informações de: TechCrunch Security & AI