Uma agência publicitária israelense tem servido milhões de anúncios online que permitem o uso de spyware 'sem clique' contra alvos, disseram pesquisadores de uma universidade canadense.
O Citizen Lab, unidade de pesquisa em investigações digitais da Universidade de Toronto, disse acreditar que dezenas de dispositivos na emissora qatarina Al Jazeera foram comprometidos por spyware entregue através de anúncios veiculados pela Discover-Tech, que se descreve como uma agência especializada em publicidade digital.
De acordo com o Citizen Lab, a Discover-Tech opera uma plataforma de software chamada Controlium que permite aos seus clientes 'perfilar em massa e deanonimizar' usuários da internet e, em seguida, hackear alvos secretamente com spyware de terceiros. Ao contrário de infecções que dependem de pessoas interagirem com links ou arquivos, o spyware não requer interação do vítima para ser instalado, tornando-se uma nova técnica de entrega, diz o Citizen Lab.
As infecções ocorrem sem o conhecimento do usuário e em questão de segundos, segundo o Citizen Lab.
'O ecossistema [de publicidade online] está sendo weaponizado em escala massiva para perfilar milhões de usuários e, em seguida, infectar silenciosamente alvos com spyware mercenário sem clique', diz o relatório.
De acordo com o relatório, o Controlium é capaz de colher a identidade e o endereço IP de um usuário quando este vê um anúncio personalizado aparentemente inofensivo – por exemplo, para um jogo digital ou um serviço de telecomunicações. Se o usuário tiver sido selecionado como alvo para hacking, uma firma de spyware mercenária pode então enviar um código malicioso contendo spyware para o dispositivo dele, dizem os pesquisadores.
Eles afirmam que milhões de usuários em todo o mundo receberam anúncios da Discover-Tech desde 2024, incluindo no Iêmen, Brasil, México e Tchecoslováquia.
Trabalhos relacionados do grupo de pesquisa Confiant também sugerem que os anúncios da Discover-Tech foram exibidos a usuários de redes de entidades governamentais na Europa e nos EUA, bem como à ONU, à NATO, ao tribunal penal internacional e à Agência Internacional de Energia Atômica.
'É desastroso que grandes fornecedores de anúncios e organizações aparentemente não tenham sido capazes de detectar nem prevenir as operações maliciosas de publicidade da empresa por anos', disse Wolfie Christl, pesquisador do Citizen Lab. "A maneira como o ecossistema de publicidade online funciona hoje é uma ameaça à segurança para estados, setor privado, sociedade civil e todos os demais."
De acordo com o Citizen Lab, a Controlium atua como um "facilitador" para empresas de spyware de terceiros que visaram "funcionários públicos, jornalistas, empresários, ativistas, acadêmicos e funcionários de embaixadas". O Citizen Lab afirma que pode fornecer spyware capaz de acessar tudo no dispositivo de um alvo, extraindo mensagens, fotos e e-mails, gravando chamadas e ativando secretamente microfones.
A extensão total do direcionamento supostamente habilitado pela Discover-Tech é desconhecida. As descobertas do Citizen Lab somam-se a evidências crescentes de que os arranjos opacos que sustentam o mundo da publicidade online podem ser explorados para vigilância.
"Houve muita especulação de que anúncios online poderiam ser usados para identificar e automaticamente hackear alvos com precisão cirúrgica, mas agora, pela primeira vez, temos evidências técnicas concretas mostrando esse processo em ação", disse Bill Marczak, pesquisador do Citizen Lab.
A Discover-Tech foi contatada para comentários.
Quando um usuário navega até um site que exibe anúncios, seus detalhes tornam-se parte de uma leilão programático de fração de segundo envolvendo dezenas ou centenas de empresas. Essas empresas fazem lances automaticamente para colocar um anúncio na frente desse usuário.
Esses lances são baseados no perfil do usuário, que pode incluir informações sobre seu dispositivo e dados compilados sobre ele através do rastreamento de sua atividade na web. Por exemplo, empresas que recebem o perfil de um homem de 35 anos interessado em apostas esportivas e criptomoedas podem fazer lances para mostrar a esse indivíduo um anúncio de uma bebida energética.
Há pouca regulamentação sobre este mercado online automatizado, e há evidências crescentes de que ele está sendo explorado por atores maliciosos.
A Reuters informou que bilhões de dólares em receita publicitária da Meta provêm de anúncios para golpes, jogos de azar ilegais, pornografia e outros conteúdos proibidos. Nos EUA, o ICE e outras agências governamentais adquiriram software que utiliza dados de tecnologia publicitária para rastrear os movimentos das pessoas.
“Agências de cibersegurança, reguladores e legisladores nos EUA, na Europa e em outras regiões devem intervir com urgência.” “Eles devem investigar as empresas envolvidas e corrigir os riscos sistêmicos que permitem o direcionamento malicioso de anúncios”, disse Christl.
