Cosa è successo

Il 15 ottobre 2026 il Citizen Lab dell'Università di Toronto ha pubblicato "AdFection", una ricerca che documenta un canale di infezione inedito: la pubblicità online mirata. Secondo il rapporto, una società israeliana di ad-tech, Discover-Tech, si presentava come un normale operatore pubblicitario ma agiva da intermediario per fornitori di spyware commerciale, tra cui Candiru (oggi Integrity Labs). I ricercatori hanno collegato con alta confidenza all'operazione almeno 45 dispositivi di persone legate ad Al Jazeera, colpiti tra il 2024 e il 2025 con attacchi zero-click: la vittima non doveva cliccare su nulla, bastava che l'annuncio venisse visualizzato.

Il meccanismo, nelle linee descritte dalle fonti, è il seguente:

  1. Discover-Tech vince un'asta pubblicitaria in tempo reale (RTB) e il suo annuncio viene mostrato sul dispositivo bersaglio, a volte in background, in app Android e iOS e nei browser.
  2. L'annuncio contiene uno script che contatta un server della società inviando l'identificativo pubblicitario del dispositivo e l'indirizzo IP.
  3. Per i dispositivi non di interesse il server risponde con un contenuto vuoto; per quelli selezionati restituisce codice JavaScript specifico.
  4. Segue, secondo il rapporto, un controllo da parte di un server "validatore" di Candiru e poi la connessione al server di comando e controllo dello spyware.

La piattaforma, chiamata Controlium, consentirebbe ai clienti di de-anonimizzare e profilare i dispositivi e di infettarli al momento della visualizzazione dell'annuncio. Candiru è noto per la capacità di prendere il controllo di un dispositivo, sottrarre file, credenziali e messaggi, e accedere a microfono e fotocamera. La sola campionatura di malware descritta nel rapporto è una DLL per Windows recuperata da un dispositivo di Al Jazeera; le fonti consultate non indicano né un exploit specifico né identificativi CVE, e questo va tenuto presente: non esiste una "patch" che risolva il problema.

I numeri e le reazioni

  • Secondo CyberScoop, tra marzo e giugno 2026 gli annunci di Discover-Tech sono apparsi su oltre 120.000 siti e più di 70.000 app mobili; SecurityWeek parla di circa 200.000 siti e app complessivi e di un server che esponeva circa quattro miliardi di record di offerte pubblicitarie. Le cifre differiscono per periodo di osservazione e metodo, quindi vanno lette come ordini di grandezza.
  • L'ad security firm Confiant ha riferito di annunci della società comparsi su reti collegate a ambienti governativi, difesa, NATO e organismi internazionali. Il Citizen Lab precisa che una semplice visualizzazione di annuncio non prova un'infezione.
  • A inizio ottobre Google e IAB Europe hanno rimosso Discover-Tech dai rispettivi registri di fornitori; Google ha bloccato l'accesso alle proprie piattaforme pubblicitarie e analoghe misure sono state prese da Beeswax ed Eskimi. Discover-Tech, Candiru e le società collegate non hanno risposto alle richieste di commento.
  • Il rapporto cita anche un attore separato, DARK CARTOGRAPHER, che userebbe la stessa infrastruttura per associare identificativi pubblicitari a numeri di telefono sfruttando debolezze delle reti mobili; un rapporto dedicato è annunciato.

Cosa significa per le aziende italiane

Il caso colpisce giornalisti, ma il canale ha una caratteristica che riguarda tutti: l'ecosistema pubblicitario è un'infrastruttura di recapito di codice verso milioni di dispositivi, selezionabile per identificativo e IP. Per un'azienda italiana questo si traduce in tre considerazioni.

La prima è sul rischio per le persone esposte: amministratori, dirigenti, avvocati, giornalisti, responsabili di gare e di trattative sensibili, ricercatori. Chi ha un profilo di interesse per attori statali o per clienti di spyware commerciale è raggiungibile anche senza phishing e senza clic. Per questi profili "non cliccare su nulla" non è una difesa sufficiente.

La seconda riguarda la privacy e il GDPR. Gli identificativi pubblicitari e i dati di geolocalizzazione che circolano nelle aste RTB sono dati personali. Le aziende che ospitano pubblicità sui propri siti o app, o che pubblicano annunci, sono parte di una catena in cui responsabilità e basi giuridiche vanno documentate: la presenza di un fornitore opaco nella filiera è un tema di accountability, di valutazione dei responsabili del trattamento e di trasferimenti di dati. Il fatto che due registri di settore abbiano rimosso il fornitore è un segnale che anche le verifiche sui partner pubblicitari non sono più formali.

La terza è organizzativa: la sicurezza dei dispositivi mobili aziendali (MDM, aggiornamenti, modalità restrittive dei sistemi operativi) deve diventare parte dell'analisi del rischio NIS2 per chi gestisce personale esposto. Ritengo prudente non dedurre dal caso che il rischio sia generalizzato: la maggior parte delle imprese non è un bersaglio di spyware mercenario. Ma la protezione di pochi profili critici è un costo contenuto rispetto al danno di una compromissione di microfono, fotocamera e messaggi di un dirigente.

Cosa fare subito

  • Identificare i profili ad alto rischio (vertici, legale, M&A, ricerca, comunicazione) e applicare a quei dispositivi una postura più restrittiva: aggiornamenti di sistema immediati e, dove disponibili, le modalità di protezione avanzata dei sistemi operativi mobili (ad esempio la modalità di blocco di iOS).
  • Ridurre la superficie pubblicitaria: valutare l'uso di blocco annunci a livello di rete o di DNS sui dispositivi aziendali. Il Citizen Lab indica il blocco delle pubblicità mirate sul gateway come la difesa più praticabile finché il settore non arriva a un blocco affidabile di questi vettori.
  • Disattivare o azzerare l'identificativo pubblicitario sui dispositivi aziendali (Android e iOS lo consentono) e limitare il tracciamento tra app.
  • Cercare gli indicatori di compromissione pubblicati dal Citizen Lab (domini di comando e controllo come fearevolve[.]com, jobmarcher[.]com, insightenterprisells[.]com, plasticbells[.]com e l'hash della DLL Candiru riportato nel rapporto) nei log DNS e proxy; verificare i dettagli direttamente nel rapporto prima di attivare blocchi.
  • Rivedere la filiera pubblicitaria se si pubblicano annunci o si monetizzano siti e app: mappare i fornitori ad-tech, verificare le registrazioni di settore e documentare le valutazioni nel registro dei trattamenti.
  • Aggiornare le procedure di risposta: prevedere come intervenire in caso di sospetto spyware su un dispositivo (isolamento, analisi forense, rotazione delle credenziali) e chi decide l'eventuale notifica a Garante o CSIRT Italia.

Nota di metodo: il rapporto del Citizen Lab non attribuisce l'operazione a un committente specifico e le fonti giornalistiche citano dati con piccole differenze; per le cifre e gli indicatori fa fede la pubblicazione originale.