Agência israelense usou anúncios para espionar, diz estudo - resenha crítica

Quando alguém abre um site ou um aplicativo com publicidade, o espaço do anúncio ainda está vazio. Em frações de segundo, dezenas ou centenas de empresas participam de um leilão automático pelo direito de mostrar alguma coisa àquela pessoa. Os lances são feitos com base em um perfil que pode incluir informações sobre o aparelho, a localização, o histórico de navegação e dados reunidos por empresas que acompanham a atividade das pessoas pela internet. Tudo isso acontece em milissegundos, sem que o usuário perceba, e com pouquíssima regulação sobre quem participa do leilão e o que faz com os dados que recebe.

É esse mecanismo que está no centro da notícia desta semana. Na quinta-feira, dois grupos de pesquisa publicaram relatórios afirmando que uma agência israelense de publicidade digital, a Discover-Tech, usou essa engrenagem para identificar pessoas específicas e ajudar empresas de programas espiões a invadir seus aparelhos, sem que a vítima precisasse clicar em nada.

Como um anúncio comum pode virar porta de entrada

Os relatórios são do Citizen Lab, grupo de investigação digital da Universidade de Toronto, no Canadá, e da Confiant, empresa de segurança em publicidade digital sediada em Nova York. Segundo o Citizen Lab, a Discover-Tech opera uma plataforma chamada Controlium, que permite a seus clientes identificar e perfilar em massa milhões de usuários, reconhecer seus aparelhos e selecionar alvos usando o endereço de internet, o identificador de publicidade do celular ou um identificador do navegador.

A partir daí, de acordo com os pesquisadores, entra em cena um ataque do tipo "zero clique", em que o programa espião é instalado sem nenhuma ação da vítima. Não há link para abrir nem arquivo para baixar: basta que o anúncio seja carregado na página. Os anúncios, segundo o Citizen Lab, costumavam ser comuns, de jogos digitais, telefones, fones de ouvido ou serviços de telecomunicações. A infecção ocorre em segundos e sem conhecimento do usuário.

"O AdFection permite que operadores invadam automaticamente indivíduos específicos com programas espiões comerciais enquanto eles usam aplicativos ou navegam na internet", disse à WIRED, revista americana de tecnologia, Bill Marczak, pesquisador sênior do Citizen Lab, usando o nome dado pela equipe à campanha. "Alguém invadido dessa forma não veria nada estranho. Na verdade, pode nem chegar a ver anúncio nenhum."

Segundo o Citizen Lab, o programa espião distribuído por esse caminho pode acessar tudo o que está no aparelho do alvo, extrair mensagens, fotos e e-mails, gravar chamadas e ativar microfones em segredo. Os pesquisadores afirmam que esta é a primeira evidência técnica detalhada tornada pública de um ataque desse tipo entregue por meio de publicidade direcionada.

O que a investigação encontrou

O caso mais documentado envolve a Al Jazeera, emissora sediada no Catar. O Citizen Lab afirma que uma versão do programa espião da Candiru, empresa israelense de vigilância, foi distribuída por anúncios da Discover-Tech e usada contra 45 dispositivos Windows na emissora, entre 2024 e 2025. A conclusão foi possível porque o grupo de mídia compartilhou seus registros de rede com os pesquisadores. A Al Jazeera não respondeu a pedidos de comentário.

A Candiru foi incluída em 2021 na lista negra do Departamento de Comércio dos Estados Unidos, sob a alegação de fornecer programas espiões usados para atacar autoridades de governo, jornalistas, ativistas e acadêmicos. Tentativas de contato com seus proprietários não tiveram sucesso.

A escala do restante da operação é maior e menos clara. Segundo o Citizen Lab, os anúncios da Discover-Tech alcançaram mais de 120 mil sites e 75 mil aplicativos por meio de parcerias no setor. Jerome Dangu, cofundador da Confiant, afirmou à Reuters que a empresa veiculava pelo menos 10 milhões de anúncios por dia no mundo e que acordos de compartilhamento de dados entre plataformas permitiam rastrear pessoas mesmo fora do alcance de seus próprios anúncios. "É muito provável que centenas de milhões de pessoas tenham sido afetadas", disse. A Confiant ressalva que os anúncios ligados à Candiru eram uma fração mínima desse volume.

Os dois grupos dizem ter identificado anúncios da Discover-Tech exibidos em redes sensíveis: o Pentágono, a Agência Internacional de Energia Atômica, o Tribunal Penal Internacional, as Nações Unidas, a Otan, a Comissão Europeia e mais de uma dúzia de governos nacionais, além de empresas do setor de chips e organizações de mídia no México, em Israel e na Europa. Algumas regiões apareciam especialmente saturadas. "Você acessa praticamente qualquer site na Palestina, qualquer site, e encontra um anúncio da Discover-Tech", afirmou Dangu à Reuters. "Isso lhes dá uma visibilidade muito completa das atividades digitais de um país inteiro."

A Discover-Tech, fundada em 2020, não respondeu a mensagens enviadas por Reuters, Guardian e WIRED, nem por meio de seu formulário de contato nem a seu diretor executivo, Dekel Boni.

Google, Comcast e o setor de publicidade cortam laços

A empresa já está sendo excluída de partes do mercado. O Google informou que colaborou com a investigação e bloqueou a Discover-Tech de suas plataformas de anúncios "por violar sistematicamente nossas políticas", acrescentando que criou alertas de navegação segura para proteger quem acessar sites ligados ao grupo.

A Beeswax, empresa de tecnologia de publicidade da Comcast, disse ter removido a Discover-Tech de sua plataforma após atividades recentes e validação independente de um especialista externo, afirmando manter política de tolerância zero com publicidade maliciosa. A IAB Europe, associação europeia do setor de marketing e publicidade digital, informou que suspendeu a empresa de sua lista global de fornecedores aprovados após uma auditoria apontar violações de políticas, e que a confirmação adicional das descobertas sobre o programa espião poderia justificar expulsão definitiva. A russa Yandex, também citada entre as plataformas acessadas, não respondeu a pedidos de comentário.

Um problema maior que um caso só

Os pesquisadores tratam o episódio menos como desvio de uma empresa e mais como sintoma de como o mercado funciona. "A forma como a publicidade online funciona hoje é uma ameaça sistêmica à segurança", disse à Reuters Wolfie Christl, pesquisador sênior do Citizen Lab. "Para os Estados, o setor privado, a sociedade civil e todos os demais." Ele afirma ser desastroso que grandes fornecedores de anúncios e organizações aparentemente não tenham conseguido detectar nem impedir a operação durante anos, e defende que agências de segurança cibernética, reguladores e legisladores nos Estados Unidos e na Europa investiguem as empresas envolvidas.

Há outros sinais na mesma direção. A Reuters já noticiou que bilhões de dólares da receita publicitária da Meta vêm de anúncios de golpes, jogo ilegal, pornografia e outros conteúdos proibidos. Nos Estados Unidos, o serviço de imigração e outras agências governamentais compraram programas que usam dados do mercado publicitário para rastrear o deslocamento de pessoas. E, no início deste ano, o Pentágono informou ter recebido relatos de que forças americanas enviadas a zonas de guerra foram alvo de ataques com dados de localização coletados por empresas de tecnologia de publicidade e corretores de dados. Desde então, ramos das Forças Armadas desativaram o rastreamento de anúncios em alguns dispositivos.

O que fazer com essa informação

Os pesquisadores do Citizen Lab e da Confiant recomendam medidas concretas para quem está em maior risco de ser alvo, caso de jornalistas, ativistas, funcionários de governo e pessoas que trabalham com informação sensível: usar bloqueadores de anúncios da forma mais abrangente possível, em sites e aplicativos; desativar o rastreamento publicitário nas configurações do aparelho; e redefinir periodicamente o identificador de publicidade do celular, que é justamente um dos dados que a plataforma usava para escolher alvos. Marczak observa que, em ataques desse tipo, há pouco que o usuário comum possa fazer além de bloquear anúncios, já que não existe clique a evitar nem mensagem suspeita a ignorar.

Vale acompanhar também três coisas nos próximos meses: se reguladores americanos e europeus abrirão investigações formais sobre o funcionamento dos leilões de anúncios, como pedem os pesquisadores; se outras plataformas, além de Google, Comcast e IAB Europe, vão barrar a Discover-Tech e empresas similares; e se a suspensão da associação europeia vira expulsão definitiva, como ela própria sinalizou ser possível.

Na sua rotina, quantos dos aparelhos que você usa para trabalho ou conversas sensíveis ainda carregam anúncios sem nenhum bloqueio?