In sintesi
La pubblicità mirata è confermata come canale funzionante per distribuire spyware zero-click. Il rapporto di Citizen Lab del 15 ottobre 2026 mostra come la piattaforma Controlium di Discover-Tech abbia spinto lo spyware Candiru su almeno 45 dispositivi di Al Jazeera attraverso normali aste pubblicitarie. Se le vostre app mobili o i vostri siti mostrano annunci di terze parti, questo percorso di codice rientra ora nel vostro modello di minaccia.
Cosa ha scoperto Citizen Lab?
Citizen Lab, il gruppo di ricerca sui diritti digitali dell'Università di Toronto, afferma di avere la prima prova tecnica pubblica che uno spyware mercenario viene distribuito tramite pubblicità online mirata. I ricercatori hanno collegato le infezioni di almeno 45 computer Windows dell'emittente Al Jazeera nel 2024 e nel 2025 a Candiru, produttore israeliano di spyware, e hanno ricondotto la distribuzione ad annunci acquistati tramite Controlium, una piattaforma di targeting venduta dalla società israeliana Discover-Tech.
L'indagine è stata agevolata dagli stessi errori di sicurezza di Discover-Tech. Secondo il rapporto, Controlium si fidava di dati utente non firmati invece di verificare i propri token di accesso, e un endpoint senza autenticazione esponeva circa quattro mesi di log di login. Quei log hanno permesso ai ricercatori di collegare account della piattaforma a dipendenti di Candiru e a un secondo fornitore, Bindecy. «Si parlava molto della possibilità di usare la pubblicità online per individuare e violare bersagli con precisione, ma ora abbiamo la prova tecnica», ha dichiarato a TechCrunch il ricercatore Bill Marczak.
Come fa un annuncio a diventare un exploit?
L'attacco sfrutta il normale funzionamento del real-time bidding. Quando un'app o una pagina web ha uno spazio pubblicitario, parte una richiesta di offerta che contiene identificativi come l'ID pubblicitario del dispositivo mobile, gli ID dei cookie e l'indirizzo IP. Controlium permetteva ai clienti di caricare gli identificativi dei bersagli scelti e di fare offerte solo quando comparivano proprio quei dispositivi.
L'annuncio vincente conteneva un piccolo script che contattava un server di Discover-Tech. Il server controllava di nuovo ID pubblicitario e indirizzo IP e a tutti, tranne al bersaglio, non restituiva nulla. Al bersaglio restituiva JavaScript in grado di caricare un exploit del browser e consegnare il dispositivo all'operatore dello spyware. Sullo schermo non succede nulla di visibile e, per un normale scanner di qualità degli annunci, la creatività appare pulita, perché la parte malevola viene servita a un solo dispositivo.
Fin dove sono arrivati gli annunci?
Citizen Lab ha analizzato quasi 4 miliardi di record di offerte della piattaforma di acquisto di Discover-Tech tra marzo e giugno 2026. I suoi annunci hanno ottenuto circa 442 milioni di impression e sono comparsi in 75.373 app mobili e su 120.768 siti in 161 Paesi, con un budget di circa 109.000 dollari e zero conversioni registrate: un chiaro segnale che le campagne non servivano a vendere nulla.
Le impression sono arrivate anche su reti sensibili: quelle di NATO e ONU, istituzioni dell'UE, reti governative e della difesa di diversi Paesi europei e dell'Australia e, secondo Confiant, il Dipartimento della Difesa statunitense. Non ogni impression era un attacco, ma ognuna ha portato il meccanismo di distribuzione davanti a un dispositivo su quelle reti.
Come ha reagito il settore pubblicitario?
Discover-Tech figurava dal 2020 negli elenchi di fornitori certificati di Google e IAB Europe. Dopo la condivisione dei risultati, Google ha chiuso l'accesso della società ai propri ad exchange e IAB Europe l'ha rimossa dal suo elenco globale di fornitori; Beeswax l'ha esclusa e Vungle (Liftoff) ne ha sospeso l'accesso in attesa di verifica. Discover-Tech, Candiru e Bindecy non hanno risposto alle richieste di commento di Citizen Lab e dei giornalisti.
Il CTO di Confiant, Jerome Dangu, ha riassunto il problema: il settore si è ottimizzato contro i criminali informatici, non contro la sorveglianza. I filtri antifrode cercano il malvertising di massa; una campagna che consegna il proprio payload a un solo dispositivo è pensata proprio per restare sotto quella soglia.
Cosa significa per i team software negli Stati Uniti e nell'UE
Per la maggior parte delle aziende il rischio diretto di spyware è basso: strumenti della classe di Candiru colpiscono giornalisti, funzionari e personale ad alto valore. La vera lezione è architetturale. Ogni SDK pubblicitario in un'app e ogni tag pubblicitario su un sito eseguono codice scelto al momento dell'asta da soggetti con cui non avete mai firmato un contratto. È un problema di supply chain software e va trattato come tale: un inventario noto dei partner pubblicitari, rendering degli annunci isolato e limiti a ciò che il codice pubblicitario può raggiungere.
C'è anche una questione di privacy. L'attacco funziona perché le richieste di offerta diffondono su larga scala identificativi stabili dei dispositivi e indirizzi IP. Nell'UE, dove autorità e tribunali hanno già esaminato il real-time bidding alla luce del GDPR, AdFection probabilmente renderà più stringenti le domande su quali identificativi le app immettono nel flusso delle offerte e su quale base di consenso. Per le aziende, smartphone e portatili di dirigenti, ufficio legale, sicurezza e personale che lavora con la pubblica amministrazione sono il primo perimetro da ridurre.
Cosa significa per le aziende italiane?
In Italia il tema si intreccia con regole già precise. Le Linee guida del Garante privacy su cookie e altri strumenti di tracciamento del 2021 richiedono il consenso preventivo per i tracciatori a fini pubblicitari e vietano di considerare consenso il semplice scorrimento della pagina. AdFection aggiunge un argomento di sicurezza a quello normativo: verificate tecnicamente che l'ID pubblicitario entri nel flusso delle offerte solo dopo un consenso valido e che il vostro banner non lasci passare tracciatori per impostazione predefinita, sia sul sito sia negli SDK delle app.
Per editori, testate online e app gratuite che vivono di pubblicità programmatica, la lezione è scomoda: la presenza di un fornitore in un elenco certificato non sostituisce una verifica propria dei partner. Pubbliche amministrazioni, enti locali e soggetti che rientrano nella NIS2, recepita con il D.Lgs. 138/2024, dovrebbero disattivare o reimpostare gli ID pubblicitari tramite MDM sui dispositivi aziendali e bloccare i domini pubblicitari per il personale più esposto, seguendo anche gli avvisi del CSIRT Italia dell'ACN.
Cosa fare questa settimana
- Censire il codice pubblicitario. Elencate ogni SDK pubblicitario, adattatore di mediazione e tag pubblicitario nelle vostre app e nei vostri siti, con gli exchange e le DSP che contattano.
- Isolare gli spazi pubblicitari. Mostrate gli annunci web in iframe sandbox con una Content Security Policy rigorosa; nelle app tenete le viste pubblicitarie separate dalle web view autenticate e dai dati sensibili.
- Ridurre gli identificativi. Non immettete ID pubblicitari, posizione precisa o altri identificativi stabili nel flusso delle offerte se finalità di business e base di consenso non sono chiare.
- Rafforzare i dispositivi aziendali. Tramite MDM disattivate o reimpostate gli ID pubblicitari, bloccate i domini pubblicitari e di tracciamento per gli utenti ad alto rischio e mantenete aggiornati browser e sistema operativo.
- Rivedere i partner pubblicitari. Rimuovete eventuali endpoint collegati a Discover-Tech e inserite i partner pubblicitari nella gestione del rischio di terze parti, invece di affidarvi agli elenchi di certificazione.
Domande frequenti
Che cos'è AdFection?
AdFection è il nome che Citizen Lab ha dato a una tecnica di distribuzione di spyware tramite pubblicità online mirata. Un annuncio apparentemente normale contiene un piccolo script che comunica a un server l'ID pubblicitario e l'indirizzo IP del dispositivo; se il dispositivo corrisponde a un bersaglio scelto, il server restituisce JavaScript in grado di caricare un exploit del browser. La vittima non deve cliccare nulla.
Chi c'era dietro la campagna?
Secondo il rapporto di Citizen Lab del 15 ottobre 2026, gli annunci sono stati acquistati tramite Controlium, una piattaforma gestita dalla società israeliana Discover-Tech. Citizen Lab ha collegato con elevata confidenza almeno 45 dispositivi di Al Jazeera presi di mira nel 2024 e nel 2025 allo spyware Candiru e ha associato la piattaforma anche al fornitore Bindecy. Le società non hanno risposto ai giornalisti.
Quanto è stata ampia la diffusione degli annunci?
Citizen Lab ha analizzato quasi 4 miliardi di record di offerte tra marzo e giugno 2026. Gli annunci di Discover-Tech sono comparsi in 75.373 app mobili e su 120.768 siti in 161 Paesi, comprese impression su reti governative e della difesa in Europa, Stati Uniti e Australia.
Cosa hanno fatto le piattaforme pubblicitarie?
Google ha chiuso l'accesso di Discover-Tech ai propri ad exchange e IAB Europe l'ha rimossa dal suo elenco di fornitori dopo la condivisione della ricerca. Altre società ad tech citate nel rapporto l'hanno esclusa, sospesa o non avevano risposto al momento della pubblicazione.
Cosa devono fare le aziende italiane?
Censite SDK e tag pubblicitari, isolate gli spazi pubblicitari e verificate tecnicamente che gli ID pubblicitari vengano trasmessi solo dopo un consenso conforme alle Linee guida cookie del Garante privacy. Sui dispositivi aziendali disattivate gli ID pubblicitari tramite MDM e bloccate i domini pubblicitari per il personale esposto. Trattate i partner pubblicitari come qualsiasi altro codice di terze parti della vostra supply chain.
Fonti
Citizen Lab — Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware (October 15, 2026)
TechCrunch — Citizen Lab says governments are abusing online ads to hack people with ‘zero-click’ spyware (October 15, 2026)
CyberScoop — AdFection: How mercenary spyware invades victims’ devices through targeted advertising (October 15, 2026)
The Record — Zero-click spyware infecting devices through online ads, researchers say (October 15, 2026)