Un annuncio pubblicitario può diventare il punto d’ingresso per uno spyware senza che la persona tocchi o apra nulla. È il meccanismo che Citizen Lab chiama AdFection nel rapporto pubblicato il 15 ottobre 2026. I ricercatori collegano con alta confidenza una serie di attacchi contro dispositivi della rete televisiva Al Jazeera alla piattaforma pubblicitaria Discover-Tech e allo spyware di Candiru, società poi ribattezzata Integrity Labs.
Si tratta, secondo Citizen Lab, della prima conferma tecnica pubblica di spyware mercenario zero-click consegnato tramite annunci mirati. Il rapporto riguarda attacchi mirati, non dimostra che chiunque abbia visto uno degli annunci sia stato infettato. Anche la comparsa di una pubblicità su un sito o in un’app, da sola, non prova una compromissione.
Come un annuncio può avviare l’attacco
Nelle aste della pubblicità online, Discover-Tech poteva acquistare uno spazio per mostrare un annuncio a un dispositivo selezionato. Quando il sito o l’app caricava l’inserzione, il codice dell’annuncio contattava un server dell’azienda. In molti casi il server raccoglieva dati ma non restituiva il codice d’attacco; per un bersaglio scelto, poteva invece attivare la successiva catena verso l’infrastruttura di Candiru.
Citizen Lab ha ricostruito la sequenza attraverso i log di rete: prima il contatto con l’infrastruttura pubblicitaria, poi con un server di verifica di Candiru e infine i segnali della compromissione. L’annuncio in sé poteva sembrare ordinario. Questo rende il caso diverso da un link fraudolento che richiede un clic: la pagina o l’app già aperta erano sufficienti ad avviare la consegna del codice.
Che cosa dicono davvero i numeri
Il rapporto indica che almeno 45 dispositivi di Al Jazeera furono presi di mira nel 2024 e nel 2025. La ricerca riporta infezioni confermate nell’organizzazione, ma quel numero di dispositivi presi di mira non va trasformato nel conteggio delle infezioni. Non è noto dal testo quanti utenti generici della rete pubblicitaria siano stati compromessi.
Analizzando quasi quattro miliardi di record di aste pubblicitarie, i ricercatori hanno trovato impression degli annunci Discover-Tech in oltre 70.000 app mobili e 120.000 siti web tra marzo e giugno 2026. Anche qui, “impression” significa che l’annuncio è stato mostrato: non significa che ogni sito, app o visitatore sia stato attaccato. L’ampiezza della distribuzione segnala la superficie potenziale del sistema pubblicitario, non un’epidemia di infezioni documentate.
Le reazioni delle piattaforme e le difese possibili
Dopo l’indagine, Citizen Lab riferisce che Google e IAB Europe hanno rimosso Discover-Tech dai rispettivi registri dei fornitori pubblicitari. Google ne ha anche interrotto l’accesso alle piattaforme di scambio degli annunci; altri intermediari hanno bloccato o sospeso i relativi account. Sono misure rivolte all’infrastruttura pubblicitaria, non una conferma che ogni rischio analogo sia scomparso.
Per gli utenti, mantenere sistema operativo e app aggiornati resta una misura utile, ma non è una garanzia contro uno zero-day. Un blocco degli annunci può ridurre l’esposizione a questo canale; aziende e redazioni ad alto rischio hanno bisogno anche di controlli di rete e procedure forensi. La responsabilità principale, sottolinea il rapporto originale di Citizen Lab, ricade sulle piattaforme e sugli intermediari che permettono di acquistare e distribuire gli annunci.
