A empresa israelense de publicidade Discover-Tech usou anúncios online comuns para rastrear pessoas e instalar spyware em seus dispositivos, segundo a Reuters.
A empresa conseguiu distribuir anúncios por uma vasta rede de sites e aplicativos usando plataformas de publicidade operadas pelo Google, pela Comcast e pelo Yandex. Investigações independentes do Citizen Lab e da Confiant revelaram como a operação funcionava. O simples carregamento de um anúncio podia expor os usuários à vigilância ou a spyware, mesmo sem que clicassem nele.
Por que o simples carregamento de um anúncio bastava para comprometer um dispositivo
Os leilões de publicidade em tempo real vendem espaço publicitário em milissegundos, partilhando dados sobre dispositivos e localização com potenciais compradores. Alguns anúncios também executam código. O Citizen Lab chama à técnica de spyware sem clique AdFection e associa a Discover-Tech à Candiru, uma empresa israelita de spyware que foi incluída na lista negra dos EUA em 2021.
A 12 de abril de 2026, a Confiant encontrou um banner da MyIPInfo que redirecionava para uma infraestrutura associada à Candiru através do Amazon CloudFront. O anúncio carregava uma ferramenta falsa de verificação que continha cerca de 90 KB de JavaScript oculto. Isso permitia-lhe recolher informações sobre o dispositivo e comunicar através de um canal encriptado. A Confiant investigou a atividade entre abril e setembro de 2026.
45 máquinas infetadas na Al Jazeera, milhões de outras expostas
O Citizen Lab analisou quatro mil milhões de registos de leilões. Descobriu que a Discover-Tech tinha reservado anúncios em pelo menos 120 000 sites e em 75 000 aplicações.
Segundo a estimativa da Confiant, são veiculados pelo menos 10 milhões de anúncios da Discover-Tech por dia. O cofundador da empresa, Jerome Dangu, afirmou que «é muito provável que centenas de milhões de pessoas tenham sido expostas à Discover-Tech».
O Citizen Lab confirmou que o spyware da Candiru comprometeu 45 máquinas Windows na Al Jazeera durante 2024–2025. A estação de televisão afirmou que «condena os ataques de spyware contra vários dos seus funcionários».
Os anúncios da Discover-Tech também são apresentados em redes associadas a organismos governamentais e internacionais, incluindo o Pentágono, as Nações Unidas, a NATO, a Comissão Europeia, a Agência Internacional de Energia Atómica e o Tribunal Penal Internacional. Os investigadores também detetaram anúncios da Discover-Tech em redes associadas aos fabricantes de chips Nvidia, Broadcom e Micron.
No entanto, a exposição não significa necessariamente que tenha havido infeção. Ao contrário dos casos de comprometimento comunicados na Al Jazeera, estas aparições não demonstram que o spyware tenha infetado com sucesso dispositivos nessas instituições.
Google, IAB Europe e Beeswax cortam o acesso
A Google removeu a Discover-Tech da sua plataforma publicitária «por violar sistematicamente as nossas políticas». A IAB Europe também retirou a empresa de publicidade da sua lista de fornecedores aprovados. A Beeswax, da Comcast, bloqueou o acesso da Discover-Tech à plataforma.
As conclusões suscitaram preocupações mais amplas sobre a segurança da publicidade online. O investigador do Citizen Lab Wolfie Christl alertou que «a forma como a publicidade online funciona atualmente é uma ameaça sistémica à segurança».
Um mercado de 1,34 biliões de dólares assente na mesma infraestrutura
O mercado publicitário continua a crescer, aumentando os riscos para a segurança. A WARC prevê que a despesa publicitária mundial atinja 1,34 biliões de dólares em 2026. Nos EUA, a publicidade programática gerou uns impressionantes 162,4 mil milhões de dólares em 2025, segundo os dados da IAB. Mas as medidas de segurança não têm conseguido acompanhar a crescente utilização da inteligência artificial no setor da publicidade.
Um estudo da IAB mostra que apenas cerca de 40% dos compradores de publicidade inquiridos já tomaram, ou planeiam tomar, medidas relativamente aos riscos jurídicos, de segurança e de dados associados à medição baseada em IA.
Recentemente, a Noruega multou a Xandr, detida pela Microsoft, em 92 milhões de coroas norueguesas por partilhar ilegalmente dados sensíveis da Grindr através de leilões de anúncios. Tratou-se de uma violação da privacidade, não de um caso de spyware. A reguladora Line Coll afirmou que a responsabilidade «não pode ser transferida para terceiros».
Campanha de spyware da Discover-Tech: milhões expostos, 45 dispositivos infetados
O caso da Discover-Tech surge num momento em que as empresas de publicidade investem cada vez mais em dados dos consumidores e na segmentação baseada em IA. Como noticiou anteriormente a Cryptopolitan, o Publicis Groupe assinou um acordo para comprar a LiveRamp por 2,2 mil milhões de dólares, reforçando assim as suas atividades de marketing baseadas em IA.
Embora o negócio não tenha qualquer ligação aos ataques de spyware, mostra a importância que os dados e a automatização ganharam no setor. As conclusões também levantam questões sobre se as medidas de segurança existentes estão a acompanhar o ritmo.
O Citizen Lab apelou a investigações sobre a Discover-Tech e a Candiru, pressionando as plataformas de publicidade a melhorar os processos de verificação de fornecedores e de deteção de anúncios maliciosos.
Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Subscreva a nossa newsletter. É grátis.