Spyware
Anúncios online usados para instalar spyware sem um clique: Citizen Lab confirma pela primeira vez a técnica
Bastava o anúncio aparecer no ecrã. A empresa israelita Discover-Tech comprava espaço publicitário através de redes como a da Google para atacar alvos escolhidos, entre eles pelo menos 45 aparelhos da Al Jazeera. O relatório localiza em Portugal parte dos operadores de uma das empresas de vigilância envolvidas.
Há muito que os investigadores suspeitavam que a publicidade online podia servir para espiar pessoas. Agora há provas técnicas. O Citizen Lab, da Universidade de Toronto, publicou a 15 de outubro um relatório que confirma, pela primeira vez em público, ataques de spyware feitos através de anúncios direcionados, em que bastava o anúncio ser mostrado no ecrã para o aparelho ser infetado. Os investigadores chamam à técnica AdFection e apontam como peça central uma empresa israelita que se apresentava como agência de publicidade.
Como funcionava o ataque
Sempre que abres um site ou uma app com publicidade, decorre em fração de segundo um leilão em que os anunciantes licitam para te mostrar um anúncio. Esse leilão partilha dados sobre o aparelho, como o identificador de publicidade e o endereço IP, e o anúncio pode trazer código que corre no browser ou na app. Segundo o Citizen Lab, a Discover-Tech aproveitava as duas coisas. A sua plataforma, a Controlium, permitia aos clientes carregar identificadores de alvos concretos e, quando um deles via o anúncio, enviava código malicioso apenas para esse aparelho.
O caso confirmado é o da Al Jazeera. Pelo menos 45 aparelhos da cadeia de televisão foram visados em 2024 e 2025 com o spyware da Candiru, uma empresa israelita que mudou o nome para Integrity Labs e que o Departamento do Comércio dos EUA pôs numa lista negra em 2021, lembra o The Record. Segundo o mesmo site, a Controlium permite gravar chamadas, ligar microfones e retirar mensagens e emails. Na maioria dos casos, quem via os anúncios não era alvo, mas o anúncio recolhia na mesma dados do browser, e milhões de aparelhos foram encaminhados para servidores da Candiru, provavelmente para vigilância em grande escala.
A dimensão e a ligação a Portugal
O Citizen Lab analisou quatro mil milhões de registos de licitações. Em quatro meses, os anúncios da Discover-Tech surgiram em quase 200 mil sites e apps Android e iOS, em dezenas de países. Os investigadores dizem ter recebido anúncios da empresa no site da CBC, no Yahoo e numa app de sudoku para Android. A empresa de segurança Confiant, que fez uma investigação paralela, encontrou sinais de que os anúncios chegaram a redes do Departamento de Defesa dos EUA, da autoridade de sistemas de informação da Estónia e do Tribunal Penal Internacional.
A Discover-Tech trabalhava com outras empresas de vigilância, como a Intelos e a Bindecy. O relatório situa alguns operadores da Bindecy na Bélgica, Alemanha, Noruega, Portugal, Suécia, Singapura e Espanha. Descreve ainda que a empresa usou os mecanismos de consentimento do RGPD para chegar a utilizadores na União Europeia e que constava de listas de fornecedores aprovados da Google e da associação europeia do setor, a IAB Europe. Depois de avisadas, a Google, a IAB Europe, a Beeswax, a Vungle (Liftoff) e a Eskimi cortaram-lhe o acesso.
O Citizen Lab dirige as recomendações a reguladores e à indústria da publicidade, e não aos utilizadores. Do teu lado, o que está ao alcance é limitar o rasto: no Android, o ID de publicidade pode ser reposto ou eliminado nas definições e, segundo a Google, as apps passam a receber só zeros. Não resolve tudo, porque o relatório mostra que os alvos também podem ser escolhidos pelo endereço IP. Os investigadores prometem um segundo relatório sobre um grupo que liga identificadores de publicidade a números de telefone através de falhas nas operadoras.
