Documentata per la prima volta un’infezione “zero-click” veicolata dalla pubblicità: colpiti 45 dispositivi di Al Jazeera. Per l’Italia nessun contagio accertato, ma gli annunci sono comparsi su dispositivi collegati a istituzioni sensibili
Per la prima volta un attacco con spyware “zero-click” consegnato attraverso la pubblicità mirata è stato dimostrato tecnicamente. Lo afferma Citizen Lab, laboratorio dell’Università di Toronto, in un rapporto pubblicato il 15 ottobre e coordinato con la società di sicurezza pubblicitaria Confiant. Il meccanismo, battezzato AdFection, scatta quando l’annuncio viene visualizzato, senza che l’utente debba cliccare.
Al centro dell’indagine c’è Discover-Tech, società israeliana che si presenta come agenzia pubblicitaria. Per i ricercatori è in realtà un ponte tra il mercato degli annunci e i produttori di spyware: la sua piattaforma, Controlium, permette ai clienti di profilare, de-anonimizzare e infettare dispositivi selezionati.
L’attacco confermato. Tra il 2024 e il 2025 almeno 45 dispositivi dell’emittente Al Jazeera sono stati colpiti, secondo i ricercatori con “alta confidenza”, dallo spyware di Candiru, azienda israeliana inserita nel 2021 nella lista nera del Dipartimento del Commercio Usa.
Le reti italiane. Quasi quattro miliardi di registrazioni di aste pubblicitarie, rimaste accessibili online su un server di Discover-Tech e relative a marzo-giugno 2026, mostrano annunci visualizzati su dispositivi collegati a reti governative di 24 Paesi.
Per l’Italia il rapporto cita Banca d’Italia, Camera dei deputati e Ministero della Difesa, oltre a due organizzazioni giornalistiche non nominate. Compaiono anche NATO, ONU, Parlamento europeo, Commissione europea e Consiglio Ue; Confiant segnala inoltre il Pentagono, l’Agenzia internazionale per l’energia atomica e la Corte penale internazionale. Citizen Lab ha confermato a Fanpage.it i dispositivi collegati alla Camera.
Il rapporto precisa che la visualizzazione di un annuncio non prova di per sé né il targeting né l’infezione. I ricercatori ritengono però che quelle visualizzazioni abbiano comportato almeno una profilazione da parte di Discover-Tech e che in alcuni casi avrebbero potuto far eseguire codice di Candiru. Chiedono un’indagine urgente per accertare se vi siano stati utenti infettati. La visibilità è parziale: i dati coprono una sola delle piattaforme usate dalla società e un periodo limitato.
Confiant aggiunge un elemento che invita alla cautela: le campagne attribuite a Candiru, a bassissimo volume, hanno toccato nove Paesi, tra cui non figura l’Italia, e hanno riguardato per lo più utenze domestiche o mobili, non reti istituzionali. Secondo la società, la raccolta passiva di dati su reti sensibili potrebbe tuttavia servire a individuare bersagli da colpire in un secondo momento. Confiant ricorda anche che una rete identifica un’organizzazione, non una persona: l’utente potrebbe essere stato collegato da una rete ospite. Non è stata catturata una catena di exploit completa.
Oltre a Candiru, Discover-Tech risulta legata a Bindecy, specializzata in exploit mobile, e a Intelos, società di “ad intelligence”. Nelle parti del rapporto verificate non emerge chi siano i committenti finali. Le società non hanno risposto alle richieste di commento.
Dopo la segnalazione, Google e IAB Europe hanno rimosso Discover-Tech dai propri elenchi di fornitori certificati; Google e Beeswax ne hanno interrotto l’accesso, Vungle lo ha sospeso ed Eskimi ha bloccato i suoi account. Citizen Lab chiede alle autorità di indagare su Discover-Tech e Candiru e di bloccare la pubblicità mirata nelle reti sensibili. In Italia, Alleanza Verdi e Sinistra ha presentato un’interrogazione chiedendo al governo di riferire.
