Ferramenta Analisa Arquivos Públicos de Sites e Apps para Expor Parcerias de Publicidade e Coleta de Dados
Identificar quem é responsável por exibir os anúncios nos sites que visitamos ou quem está coletando dados dos aplicativos que usamos diariamente pode ser uma tarefa desafiadora. Essas informações já são em parte públicas, mas estão dispersas e tradicionalmente guardadas em “muralhas” pelas grandes plataformas de publicidade. Isso mudou com o DecryptAds, um poderoso e gratuito serviço que coleta e correlaciona dados do ecossistema de publicidade para tornar simples descobrir quais entidades estão rastreando os usuários.
O DecryptAds, lançado recentemente no site decryptads.com, está constantemente raspando os arquivos que sites e apps tornam públicos para revelar quais empresas são autorizadas a exibir anúncios ou coletar dados dos usuários. Esses arquivos incluem:
- ads.txt: lista de todas as empresas de tecnologia publicitária (adtech) e corretores de dados que podem exibir anúncios ou coletar informações do site.
- app-ads.txt: entidades que podem coletar dados ou exibir anúncios em aplicativos de mobile e smart TVs.
- buyers.json / sellers.json: entidades que compram, vendem ou revendem espaço de anúncios para um site ou app específico.
Zach Edwards, oficial-chefe de pesquisa do DecryptAds e pesquisador de ameaças na empresa de segurança Infoblox, explica que ele e outros dois fundadores criaram o serviço porque os dados desses arquivos só são úteis quando podem ser cruzados para construir um quadro completo do ecossistema de publicidade de cada site ou app. “É uma ferramenta de adtech, mas estamos abordando a publicidade sob uma perspectiva de segurança”, disse Edwards. “Ela foi construída para atender a casos de uso de privacidade e segurança que têm sido drasticamente subatendidos.”
Entre esses casos de uso, estão rastrear a origem de anúncios maliciosos que tentam instalar malware em usuários-alvo, identificar redes de publicidade localizadas em países adversários e detectar a rápida expansão de sites e apps gerados por IA com conteúdo de baixa qualidade. Como o DecryptAds demonstra, essas ameaças de segurança e privacidade são quase impossíveis de detectar apenas visualizando um único arquivo ads.txt ou app-ads.txt. O site explica que os problemas de integridade da cadeia de suprimentos raramente vivem em um único arquivo; eles aparecem como referências cruzadas quebradas entre os arquivos, como conjuntos de declarações clonados em domínios não relacionados ou como remoções de vendedores que só fariam sentido quando vistas em conjunto.
Uma busca no DecryptAds pela rede esportiva extremamente popular ESPN.com revela 143 parceiros de publicidade e 19 domínios de corretores de dados registrados em seus arquivos ads.txt e app-ads.txt. Essa informação sobre corretores de dados está gradualmente tornando-se disponível porque quatro estados dos EUA — Califórnia, Oregon, Texas e Vermont — aprovaram recentemente leis exigindo que os corretores de dados se registrem se comprarem ou venderem dados de consumidores desses estados. O DecryptAds relata que quase metade desses corretores está coletando dados de localização geográfica de visitantes do ESPN.com que não bloqueiam anúncios, enquanto outros três revelam que coletam impressões digitais de dispositivos e informações pessoais sensíveis.
O DecryptAds também torna fácil descobrir os beneficiários e origens nacionais das firmas de publicidade ocultas em aplicativos e sites, exibindo um aviso evidente quando os parceiros de publicidade de um app ou site estão sediados em áreas de “georisco”, como China e Rússia, ou em países com fortes laços financeiros e políticos com ambos, como Chipre e os Emirados Árabes Unidos (EAU). De acordo com o DecryptAds, a ESPN.com trabalha com quatro entidades publicitárias sediadas na Rússia, China ou EAU, incluindo a firma Between Digital, que lista um endereço em Nova York. No entanto, o dossiê sobre a Between Digital a flaga como uma empresa russa, mostrando que suas ofertas para editores (PDF) são processadas pelo Alfa Bank, o maior banco comercial privado da Rússia e uma de várias instituições financeiras sob sanções dos EUA desde 2022, após a invasão da Ucrânia. KrebsOnSecurity buscou contato com a Between Digital e com o fundador da empresa, e atualizará esta história no caso de alguma resposta.
Uma busca por vários dos principais sites de notícias militares dos EUA — incluindo armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com e federaltimes.com — mostra que todos eles permitem que a Between Digital exiba anúncios e rastreie usuários, bem como duas entidades nos EAU e outra no paraíso de sigilo de Panamá. O DecryptAds relata que a Between Digital está coletando dados de publicidade em aproximadamente 55.000 sites parceiros. Analisando o arquivo app-ads.txt da Between Digital, descobre-se centenas de domínios com jogos simples baseados em web que são frequentemente interrompidos por anúncios. Edwards disse que as próprias declarações da Between Digital mostram que a empresa está listada como editora e revendedora em aproximadamente dois terços de seu portfólio. “Isso significa que eles estão basicamente jogando ambos os lados da equação de lance, o que cria oportunidades para direcionar gastos de clientes para suas propriedades ou infraestrutura de cliente, essencialmente criando oportunidades de conflitos de interesses”, explicou Edwards ao KrebsOnSecurity. “O problema que temos agora é que, por anos, quase não temos ninguém policiando esses arquivos ads.txt e app-ads.txt.”
O navegador Opera ainda é bastante popular, e provavelmente muitos usuários não sabem que, desde 2016, é majoritariamente pertencido e controlado pela empresa chinesa Kunlun Tech (a sede operacional do Opera permanece em Oslo, Noruega). O perfil do Opera.com no DecryptAds identifica 27 corretores de dados registrados coletando informações, incluindo 15 parceiros de publicidade nos EAU, seis na China, três em Chipre, dois na Rússia e um em cada um de Hong Kong e Ucrânia. O DecryptAds deixa claro que
Com informações de: Krebs on Security