La pubblicità digitale può diventare un canale di intrusione senza che la persona presa di mira apra un allegato, tocchi un link o scarichi un’app. È quanto emerge da un’indagine congiunta di Citizen Lab e Confiant, secondo cui Discover-Tech, società israeliana attiva nell’advertising online, avrebbe fornito a operatori di spyware l’infrastruttura necessaria per raggiungere bersagli selezionati attraverso normali annunci mostrati sul web.
Il caso assume un peso particolare perché i ricercatori sostengono di avere trovato per la prima volta evidenze tecniche di un attacco zero-click distribuito tramite pubblicità mirata. Nella ricostruzione, l’annuncio non è soltanto un veicolo per condurre la vittima su una pagina fraudolenta: diventa il punto di consegna dell’attacco. Basta quindi la visualizzazione del contenuto pubblicitario perché la catena di compromissione possa avviarsi, senza un’azione consapevole dell’utente.
Tra i soggetti colpiti figurano dipendenti di Al Jazeera. Citizen Lab e Confiant attribuiscono a campagne condotte nel 2024 e nel 2025 il coinvolgimento di almeno 45 dispositivi dell’emittente qatariota, associando il software usato a Candiru, azienda israeliana di spyware già inserita dal governo degli Stati Uniti nelle proprie liste di restrizione. Le evidenze non trasformano ogni annuncio online in una minaccia, ma delineano una possibilità molto più difficile da contrastare rispetto alle campagne basate su phishing e link malevoli.
La piattaforma pubblicitaria al centro dell’indagine
Discover-Tech si presenta come un’impresa di ad tech, un settore che sviluppa sistemi per acquistare, distribuire e misurare campagne pubblicitarie. Secondo l’indagine, dietro questa attività opererebbe però una piattaforma chiamata Controlium, impiegata per rendere riconoscibili e raggiungibili utenti specifici all’interno dell’ecosistema della pubblicità programmatica.
La capacità descritta dai ricercatori è quella di combinare identificatori normalmente usati nel marketing con finalità di sorveglianza e intrusione. Indirizzi IP, identificativi pubblicitari mobili e dati del browser possono servire a distinguere un dispositivo da un altro, costruire un profilo e selezionare il destinatario di una determinata creatività. In un contesto commerciale questi strumenti servono, per esempio, a limitare la ripetizione di una campagna o a misurarne il rendimento. Se messi a disposizione di chi sviluppa spyware, possono invece aiutare a individuare una persona e farle ricevere un contenuto ostile con una precisione incompatibile con l’idea di pubblicità come comunicazione di massa.
Questo è il passaggio più rilevante della vicenda. Le piattaforme pubblicitarie sono costruite per conoscere abbastanza bene chi si trova dall’altra parte dello schermo e per decidere in millisecondi quale annuncio mostrare. Il modello è utile al mercato perché permette targeting e automazione; allo stesso tempo, qualora i controlli falliscano o un intermediario agisca in modo malevolo, la stessa infrastruttura può offrire un percorso per raggiungere obiettivi individuali su siti del tutto legittimi.
Nel caso descritto da Citizen Lab e Confiant, Controlium avrebbe consentito ai partner di Discover-Tech di scegliere un utente per attività di profilazione o per l’infezione. La distinzione è significativa: raccogliere segnali sul dispositivo può aiutare un operatore a capire se il bersaglio sia effettivamente quello desiderato, quali software utilizzi e se esistano condizioni favorevoli a proseguire con l’attacco. L’eventuale exploit viene consegnato soltanto quando la selezione è considerata sufficientemente affidabile.
Perché un attacco zero-click cambia il livello di rischio
Gli attacchi zero-click sfruttano vulnerabilità che non richiedono interazione. Sono perciò considerati tra le forme più insidiose di compromissione: le consuete cautele dell’utente, come ignorare messaggi sospetti o evitare download sconosciuti, non bastano necessariamente a fermarli. In questo caso, il fattore decisivo è l’esposizione al contenuto pubblicitario predisposto per uno specifico dispositivo.
La pubblicità programmatica aggiunge complessità perché coinvolge una catena lunga di attori: inserzionisti, agenzie, piattaforme per la domanda e l’offerta, sistemi di verifica, concessionarie e siti che ospitano gli spazi pubblicitari. Un annuncio può essere comprato, elaborato e visualizzato quasi istantaneamente, con passaggi spesso invisibili sia all’editore sia al lettore. Tale rapidità rende difficile ispezionare ogni creatività e ogni comportamento successivo alla visualizzazione, soprattutto quando un soggetto usa meccanismi apparentemente ordinari dell’advertising per selezionare la vittima.
L’indagine collega Discover-Tech a Candiru, nome noto nel mercato degli strumenti di sorveglianza commerciale. Candiru è stata inserita nel 2021 nella Entity List statunitense insieme a NSO Group: una misura che limita l’accesso a tecnologie statunitensi senza autorizzazione governativa. Il nuovo caso non riguarda però soltanto il produttore di spyware. Porta l’attenzione sul ruolo di chi può fornire dati, distribuzione pubblicitaria e capacità di targeting, cioè i componenti che rendono un’intrusione selettiva praticabile fuori dai canali tradizionalmente associati ai malware.
Al Jazeera rappresenta inoltre un bersaglio coerente con il valore informativo che possono avere giornalisti e redazioni per operazioni di sorveglianza. Un dispositivo compromesso può esporre comunicazioni, fonti, spostamenti e documenti di lavoro. Le fonti disponibili non dettagliano quali dati siano stati eventualmente sottratti né identificano i responsabili finali delle campagne; il dato verificato dai ricercatori riguarda l’esistenza della catena tecnica e il numero minimo di dispositivi interessati presso l’emittente.
Le reazioni della filiera e le contromisure possibili
Dopo le segnalazioni, Google e Beeswax, società pubblicitaria di proprietà di Comcast, hanno rimosso Discover-Tech dalle rispettive piattaforme. Anche IAB Europe ha sospeso l’azienda dall’elenco dei fornitori approvati. Sono interventi che possono ridurre l’accesso della società a una parte dell’ecosistema pubblicitario, ma non eliminano da soli il problema strutturale evidenziato dall’indagine: la disponibilità di identificatori e sistemi di targeting può essere sfruttata impropriamente in una filiera composta da molti servizi interconnessi.
Citizen Lab e Confiant chiedono al settore di rafforzare le verifiche. La richiesta non si limita alla rimozione dei soggetti segnalati, ma chiama in causa le procedure con cui vengono ammessi inserzionisti, controllati i fornitori tecnologici e monitorati comportamenti anomali nelle campagne. Per piattaforme ed editori significa valutare non solo il contenuto visibile di un annuncio, ma anche i domini, i reindirizzamenti, gli script e le modalità con cui vengono utilizzati dati di profilazione.
Per gli utenti esposti a rischi elevati, come giornalisti, attivisti, ricercatori e persone impegnate in contesti sensibili, i ricercatori suggeriscono alcune misure difensive: usare blocchi pubblicitari, disattivare il tracciamento degli annunci e reimpostare periodicamente l’identificativo pubblicitario del telefono. Sono accorgimenti che riducono le occasioni di profilazione, non una garanzia assoluta contro exploit zero-click. La protezione resta infatti legata anche alla rapidità con cui sistemi operativi, browser e applicazioni ricevono aggiornamenti di sicurezza.
Il dossier rende più concreta una preoccupazione già presente nel dibattito sulla pubblicità digitale: i dati raccolti per personalizzare un messaggio commerciale possono avere conseguenze che superano il marketing. In questo caso, la ricostruzione dei ricercatori suggerisce che l’infrastruttura pensata per trovare il pubblico giusto sia stata adattata per individuare il dispositivo giusto da colpire. La risposta della filiera determinerà se la rimozione di Discover-Tech resterà un intervento circoscritto oppure aprirà una revisione più profonda dei controlli su intermediari, identificatori e targeting pubblicitario.
