Spyware nella filiera pubblicitaria: Citizen Lab documenta la consegna zero-click di «AdFection»
Un rapporto pubblicato il 15 ottobre 2026 da Citizen Lab, il gruppo di ricerca dell'Università di Toronto, descrive un metodo di distribuzione di spyware con una barriera insolitamente bassa per la vittima: bastava mostrare un annuncio online mirato. L'attacco, che i ricercatori chiamano AdFection, non richiedeva clic, download né finestre di conferma. Secondo la squadra di sei persone dietro il rapporto, lo spyware mercenario ha raggiunto i propri bersagli attraverso la stessa infrastruttura pubblicitaria da cui i siti web tradizionali dipendono per finanziarsi.
Il rilievo conta per chiunque consideri i siti di notizie noti e gli altri domini affermati come superfici intrinsecamente sicure. Le infezioni non sono avvenute su una pagina poco raccomandabile né attraverso un messaggio di phishing. Sono avvenute all'interno degli spazi pubblicitari di pagine web ordinarie, piazzate da reti che la maggior parte degli editori non verifica mai e che la maggior parte dei lettori non può vedere. Uno spazio pubblicitario è uno dei pochi luoghi in cui contenuto esterno viene caricato automaticamente in una pagina, il che lo rende un punto d'interesse naturale per chi studia la superficie di attacco piuttosto che la reputazione. Come uno spazio pubblicitario è diventato una pipeline di consegna
Il rapporto, «Exposing AdFection», documenta come Discover-Tech, una società israeliana di ad tech, abbia commissionato e pagato gli annunci dannosi e li abbia diretti verso bersagli selezionati. Dietro la campagna c'era Candiru, il fornitore di spyware mercenario che, come nota Citizen Lab, oggi opera di nascosto con il nome di «Integrity Labs». Pagandosi l'ingresso nell'ecosistema pubblicitario, l'operazione ha collegato un fornitore di spyware a un canale di cui editori e pubblico avevano poche ragioni per diffidare. Citizen Lab ha confermato infezioni su dispositivi appartenenti a dipendenti di Al Jazeera, la cui stessa copertura conferma il caso. Secondo il Comitato per la Protezione dei Giornalisti, almeno 45 dispositivi sono stati colpiti. I ricercatori scrivono inoltre che ci sono indicazioni sul fatto che anche il ministero degli Esteri saudita fosse tra i bersagli; quella parte resta non confermata e va letta come un'affermazione, non come un fatto accertato. Il tratto distintivo di AdFection è che vedere l'annuncio ed essere infettati sono coincisi. Le vittime non hanno cliccato nulla e non hanno installato nulla. Nel modello standard, il giudizio dell'utente è l'ultimo controllo che deve cedere; in questo attacco quel controllo non è mai stato parte della sequenza. Per anni la ricerca sulla sicurezza dei browser ha considerato l'idea che la semplice esposizione a contenuti web potesse compromettere un dispositivo come il peggiore dei casi teorici; il rapporto mostra che viene messa in pratica, contro persone specifiche, attraverso una pipeline commerciale. La risposta del settore
Una volta resi pubblici i risultati, parti dell'industria pubblicitaria si sono mosse per tagliare i ponti con l'azienda. Come riporta il sito tecnologico tedesco Tarnkappe, Google ha revocato l'accesso di Discover-Tech alla sua piattaforma pubblicitaria e IAB Europe ha rimosso l'azienda dai propri elenchi di fornitori. Beeswax/FreeWheel ed Eskimi hanno interrotto il rapporto di partnership con Discover-Tech, e Vungle/Liftoff ha sospeso il suo accesso in attesa di verifica. Al Jazeera, il cui personale è tra gli infettati, ha seguito il caso in autonomia, e testate specializzate in sicurezza come The Record hanno ripreso e approfondito i risultati. L'ampiezza della risposta è di per sé notevole: nel giro di pochi giorni dalla pubblicazione, un solo rapporto di ricerca ha cambiato la posizione commerciale di un'azienda di ad tech su diverse delle piattaforme centrali del settore. Cosa significa per la sicurezza operativa
Per chi prende sul serio la sicurezza operativa, la lezione è scomoda. La maggior parte delle indicazioni personali ruota attorno a cosa non cliccare, e presuppone che la prudenza al momento dell'interazione basti. Un canale di consegna che non richiede interazione elimina questa presunzione. Restano le patch, il blocco degli annunci e il filtraggio a livello di rete — controlli che molte persone, compresi utenti tecnici, non applicano in modo uniforme. Un sito affidabile è pulito quanto il contenuto di terze parti che incorpora, e la pubblicità è il contenuto di terze parti più diffuso del web. Abbiamo già esaminato il costo in termini di privacy dei widget di terze parti incorporati; AdFection mostra che la posta in gioco può arrivare alla compromissione totale del dispositivo. Il caso riecheggia anche una storia più antica. Alla fine degli anni 2000, i download drive-by rendevano le pagine dannose pericolose alla sola visita, e il consiglio standard era tenersi alla larga dai siti dubbi e tenere il software aggiornato. AdFection appartiene a quel lignaggio ma inverte la geometria: il contenuto dannoso ha viaggiato verso la vittima attraverso editori rispettabili, e non viceversa. Una rete pubblicitaria è, in termini funzionali, un sistema globale di distribuzione di contenuti con trasparenza limitata su chi possa pagare per uno spazio e chi vedrà il risultato. Quell'opacità non è un incidente del sistema; fa parte di come il mercato è progettato. Finché non cambia, trattare ogni annuncio incorporato come contenuto non affidabile, su qualsiasi sito, è l'impostazione predefinita ragionevole.
