O Citizen Lab diz que governos estão abusando de anúncios online para hackear pessoas com spyware de clique zero

Pesquisadores de segurança da unidade de direitos digitais Citizen Lab afirmam que criadores de spyware governamentais estão abusando de redes globais de publicidade para mirar e invadir dispositivos, veiculando anúncios online maliciosos.

Um novo relatório publicado na quinta-feira pelo laboratório da Universidade de Toronto, que investiga abusos de vigilância e direitos digitais, afirmou que uma empresa israelense chamada Discover-Tech permite que fabricantes de spyware usem sua plataforma de publicidade para direcionar pessoas ou dispositivos específicos em quase qualquer lugar do mundo com um spyware capaz de roubar dados de forma invisível.

Os pesquisadores afirmam que a Discover-Tech se apresenta como uma empresa de publicidade legítima, mas que, em vez disso, serve como uma “ponte entre os fornecedores de anúncios e o ecossistema de spyware mercenário.”

O Citizen Lab afirmou que pelo menos dois fabricantes de spyware de clique zero, Candiru e Bindecy, usaram a plataforma da Discover-Tech para atacar alvos. Ambos os fabricantes fornecem produtos de vigilância que podem infectar dispositivos sem que a vítima precise abrir uma mensagem ou clicar em um link.

Os pesquisadores descobriram que um ataque afetou pelo menos 45 computadores com Windows na organização de mídia Al Jazeera. Os dispositivos foram aparentemente invadidos em 2024 e 2025 pelo spyware da Candiru após serem expostos a anúncios online carregados de código malicioso.

O Citizen Lab afirmou que não está claro quais governos estavam por trás dos ataques, mas disse que esta é a primeira confirmação de ataques de spyware de clique zero apoiados por governos realizados por meio de anúncios online, colocando potencialmente um vasto número de dispositivos em todo o mundo sob o risco de serem visados e invadidos.

“Havia muita expectativa de que anúncios online pudessem ser usados para identificar e hackear alvos automaticamente com precisão cirúrgica, mas agora, pela primeira vez, temos evidências técnicas concretas mostrando esse processo em ação”, disse Bill Marczak, pesquisador sênior do Citizen Lab, antes da divulgação do relatório.

Hackers buscam há muito tempo maneiras de abusar do acesso a redes de publicidade, em parte devido à capacidade dessas redes de alcançar praticamente qualquer dispositivo conectado à internet no mundo. As redes de anúncios são projetadas para ajudar anunciantes a direcionar tipos específicos de pessoas, dispositivos e organizações com anúncios específicos, mas também podem ser usadas indevidamente para atacar indivíduos ou dispositivos específicos com códigos maliciosos.

Embora esses ataques conhecidos como “malvertising” não sejam novos, o uso de anúncios online para permitir que spywares governamentais poderosos invadam silenciosamente dispositivos representa uma escalada notável.

Especialistas em segurança e privacidade vêm há anos encorajando as pessoas a instalarem bloqueadores de anúncios para impedir que anúncios sejam exibidos em telas de computadores e celulares, inclusive em aplicativos. No entanto, a onipresença da publicidade online torna difícil escapar totalmente das garras dessa indústria.

Os pesquisadores disseram que a plataforma da Discover-Tech, chamada pela empresa de Controlium, deixou parte de seu código-fonte exposto em suas páginas de login, permitindo que os pesquisadores recriassem o painel de controle baseado na web sem precisar fazer login. Os pesquisadores afirmam que o painel web “parece ser projetado especificamente para permitir que eles enviem conteúdo malicioso para usuários específicos visados, juntamente com anúncios.”

O Citizen Lab também descobriu que o site da Discover-Tech tinha uma seção acessível ao público que permitia aos pesquisadores baixar pilhas de registros de login de usuários para o painel do Controlium sem a necessidade de senha. Alguns detalhes de login pertenciam a pelo menos dois funcionários da fabricante de spyware Candiru, bem como alguns da Bindecy.

Os pesquisadores também encontraram bilhões de registros de lances de anúncios deixados expostos no site da Discover-Tech, o que mostrou que seus anúncios acabaram sendo exibidos emzenzen dezenas de milhares de aplicativos móveis e sites entre março e junho de 2026.

Os registros de lances mostram que os anúncios foram exibidos em dispositivos usados por forças armadas, governos, infraestrutura crítica e agências cibernéticas nacionais. No entanto, não está claro se os anúncios exibidos resultaram em um comprometimento ou infecção.

Pesquisadores de segurança da plataforma de qualidade de anúncios Confiant, que trabalhou com o Citizen Lab na investigação, disseram que encontraram evidências de que anúncios potencialmente maliciosos também foram exibidos em dispositivos nas redes da Agência Internacional de Energia Atômica e do Tribunal Penal Internacional.

Marczak, do Citizen Lab, disse que a Discover-Tech é “certamente apenas a ponta do iceberg” e instou as pessoas a tomarem medidas de defesa. 

“Se você corre o risco de ser um alvo com base em quem você é ou no que faz, é hora de desativar o rastreamento de anúncios em seus dispositivos ou até mesmo bloquear anúncios por completo”, disse Marczak.

A Al Jazeera não respondeu a um pedido de comentário sobre as invasões. A Discover-Tech também não respondeu, e a fabricante da Candiru, Integrity Labs, não pôde ser contatada para comentar.