E se bastasse visualizzare una pubblicità online per esporre il proprio dispositivo a un attacco, senza cliccare su nulla?
È lo scenario emerso da un’indagine di The Citizen Lab, che ha documentato una nuova tecnica di sorveglianza informatica basata sull’advertising digitale. Al centro del caso c’è AdFection, un sistema che, secondo i ricercatori, permetterebbe di distribuire spyware attraverso normali annunci mostrati su siti web e applicazioni.
La particolarità è proprio questa: l’attacco può avvenire in modalità zero-click. La vittima non deve aprire un link, scaricare un file o autorizzare un’operazione. L’annuncio diventa semplicemente il mezzo attraverso cui raggiungere un dispositivo già individuato come bersaglio.
Secondo Citizen Lab, si tratterebbe della prima conferma documentata di spyware governativo zero-click distribuito attraverso l’infrastruttura pubblicitaria online. La tecnologia sarebbe riconducibile a Discover-Tech, società israeliana attiva nel settore advertising che, sempre secondo l’indagine, avrebbe svolto un ruolo di collegamento con l’industria dello spyware mercenario.
Il punto più interessante riguarda il funzionamento dell’ecosistema pubblicitario. AdFection sfrutterebbe infatti il real-time bidding, il sistema di aste automatiche che in pochi millisecondi decide quale pubblicità mostrare a un determinato utente.
I dati normalmente utilizzati per rendere le campagne più pertinenti sarebbero stati sfruttati anche per individuare potenziali obiettivi e successivamente raggiungerli con annunci predisposti per l’attacco. Una dinamica che mostra come un’infrastruttura nata per il targeting pubblicitario possa assumere un significato completamente diverso quando viene utilizzata per finalità di sorveglianza.
Gli attacchi individuati sembrano comunque altamente selettivi. Tra i potenziali bersagli citati dai ricercatori compaiono giornalisti, personale di organizzazioni internazionali e dipendenti di grandi aziende tecnologiche.
L’estensione dell’infrastruttura, però, fa riflettere. Discover-Tech avrebbe distribuito circa 442 milioni di annunci su oltre 120.000 siti e applicazioni, coinvolgendo anche piattaforme e servizi molto conosciuti. Questo non significa che centinaia di milioni di inserzioni fossero malevole: l’aspetto rilevante è piuttosto la possibilità di utilizzare una rete pubblicitaria così ampia per raggiungere in maniera estremamente precisa pochi soggetti selezionati.
Google, secondo quanto riportato nell’indagine, ha successivamente escluso la società dal proprio ecosistema pubblicitario.
Il caso AdFection apre quindi una questione che va oltre il singolo spyware. Il programmatic advertising è costruito per identificare utenti, comprendere contesti e distribuire messaggi nel momento più rilevante. La stessa precisione che rappresenta uno dei suoi principali punti di forza può diventare anche una superficie di rischio quando l’infrastruttura viene sfruttata con obiettivi completamente differenti.
Una nuova sfida che riguarda cybersecurity, privacy e advertising allo stesso tempo.
