L’inchiesta di Citizen Lab e Confiant svela un sistema che sfruttava gli annunci pubblicitari per identificare, profilare e spiare dispositivi senza bisogno di un clic. Al centro c’è Discover-Tech, azienda israeliana collegata a fornitori di spyware mercenario, tra cui la connazionale Candiru. Rilevate inserzioni anche sulle reti della Camera dei deputati, del Ministero della Difesa e della Banca d’Italia. Almeno 45 dispositivi di Al Jazeera risultano compromessi.
Non serve un’email di phishing, non serve un allegato sospetto e non serve neppure cliccare su un collegamento. Può bastare visualizzare una pubblicità online per finire sorvegliati, senza cliccare su nulla.
È lo scenario ricostruito da Citizen Lab, il laboratorio di ricerca dell’Università di Toronto specializzato in sorveglianza digitale, e da Confiant, società statunitense che si occupa di sicurezza pubblicitaria. L’inchiesta, pubblicata il 15 ottobre 2026, porta al centro della vicenda Discover-Tech, società israeliana attiva nel settore della pubblicità digitale, accusata dai ricercatori di aver costruito un collegamento tra l’industria pubblicitaria online e quella dello spyware mercenario.
Secondo il rapporto, la società avrebbe utilizzato infrastrutture pubblicitarie legittime per distribuire inserzioni capaci di identificare i dispositivi degli utenti, raccogliere informazioni utili alla loro profilazione e infettare i dispositivi presi di mira con software spia, senza richiedere alcuna interazione da parte della vittima.
I ricercatori descrivono un sistema nel quale gli annunci pubblicitari possono diventare il primo passaggio di un’operazione di cyber spionaggio mirata. Nel mirino possono finire deputati, senatori, ministri, presidenti delle istituzioni, sindaci e altri rappresentanti pubblici, oltre a giornalisti, diplomatici e dirigenti di aziende strategiche.
L’inchiesta segnala inoltre la presenza di annunci riconducibili all’infrastruttura analizzata su dispositivi collegati alle reti della Camera dei deputati, del Ministero della Difesa e della Banca d’Italia. Un quadro agghiacciante, che solleva interrogativi sulla sicurezza delle comunicazioni istituzionali, delle informazioni riservate e delle persone che ricoprono incarichi pubblici.
L’inchiesta individua inoltre collegamenti con altri operatori israeliani del settore della sorveglianza, a partire da Candiru, azienda specializzata nello sviluppo di spyware. Il quadro che emerge è quello di una filiera tecnologica nella quale strumenti commerciali, sistemi di profilazione e software offensivi possono essere combinati per raggiungere obiettivi specifici.
Il rischio che le informazioni raccolte possano essere utilizzate per esercitare pressioni o ricattare le persone sorvegliate, tra cui deputati, senatori, ministri, vertici delle istituzioni, sindaci e altri rappresentanti pubblici, oltre a giornalisti, diplomatici e dirigenti di aziende strategiche. Dati personali, comunicazioni riservate e segreti scoperti attraverso strumenti di sorveglianza potrebbero essere sfruttati per intimidire queste persone, condizionarne le decisioni o esercitare pressioni su di loro con conseguenze che vanno oltre la violazione della privacy, investendo la libertà di informazione, l’indipendenza delle decisioni pubbliche e la sicurezza nazionale.
L’aspetto più delicato per il nostro Paese riguarda la presenza di annunci riconducibili all’infrastruttura di Discover-Tech su dispositivi collegati a reti istituzionali italiane. Secondo le informazioni raccolte da Citizen Lab e riportate dalla stampa italiana, tra le realtà interessate figurano:
- Camera dei deputati, con dispositivi collegati alla rete dell’istituzione sui quali sarebbero state visualizzate inserzioni riconducibili alla società;
- Ministero della Difesa, i cui ambienti di rete compaiono tra quelli interessati dalle rilevazioni;
- Banca d’Italia, anch’essa citata nell’analisi relativa alla distribuzione degli annunci.
La presenza di questi bersagli colloca il caso su un piano che va oltre la privacy individuale. Una rete collegata alla Difesa può ospitare dispositivi utilizzati in contesti professionali sensibili; una banca centrale tratta informazioni economiche e finanziarie strategiche; il Parlamento è un’infrastruttura istituzionale fondamentale.
La possibilità che un operatore pubblicitario sia in grado di riconoscere dispositivi collegati a tali ambienti e di distinguerli da quelli degli altri utenti rappresenta quindi un problema gravissimo di sicurezza.
Citizen Lab ha riferito che queste visualizzazioni hanno comportato almeno un’attività di profilazione da parte di Discover-Tech. In alcuni casi, le visualizzazioni potrebbero aver portato all’esecuzione di codice proveniente da Candiru o da altri operatori.
Identificare i dispositivi presenti in una rete istituzionale può costituire una fase preliminare di un’operazione di sorveglianza, anche quando non segue immediatamente un’infezione.
Il punto da chiarire è dunque se le attività siano rimaste alla raccolta di informazioni oppure se, su singoli dispositivi, si sia ottenuto un accesso più profondo.
L’interrogazione parlamentare e le richieste di chiarimento
La vicenda ha provocato reazioni anche sul piano politico italiano. La deputata Elisabetta Piccolotti ha annunciato un’interrogazione parlamentare chiedendo al governo di riferire sui rischi emersi dall’inchiesta e sulle misure adottate per tutelare le reti delle istituzioni.
L’iniziativa richiama la necessità di chiarire l’effettiva portata dell’esposizione e di verificare se i dispositivi interessati abbiano subito tentativi di compromissione.
La questione riguarda anche la capacità delle strutture pubbliche di rilevare attività che non si manifestano attraverso i tradizionali segnali di un attacco informatico. Un dispositivo può essere coinvolto in una catena di profilazione senza mostrare all’utente finestre anomale, messaggi di avviso o altri sintomi facilmente riconoscibili.
Per questo motivo, le verifiche non possono limitarsi a chiedere se qualcuno abbia cliccato su un banner. Occorre ricostruire il traffico di rete, controllare gli eventuali contatti con server sospetti e accertare se sia stato eseguito codice riconducibile agli operatori coinvolti.
La presenza di inserzioni sulle reti istituzionali non dimostra automaticamente una violazione dei sistemi interni, ma giustifica accertamenti proporzionati alla sensibilità delle infrastrutture interessate.
I ricercatori hanno denominato AdFection la tecnica attraverso cui la pubblicità mirata può essere utilizzata come canale per distribuire spyware senza bisogno di un clic. Il sistema sfrutta il funzionamento della pubblicità programmatica, un mercato automatizzato nel quale gli spazi pubblicitari vengono assegnati attraverso aste che si svolgono in frazioni di secondo.
Quando un utente apre un sito o un’applicazione, il dispositivo può essere esposto a una serie di richieste pubblicitarie. In queste comunicazioni possono circolare informazioni tecniche e identificatori che permettono agli intermediari di riconoscere un dispositivo o collegarlo a un profilo già esistente.
Secondo Citizen Lab, Discover-Tech utilizzava una piattaforma denominata Controlium, attraverso la quale sarebbe stato possibile selezionare i dispositivi da profilare e quelli da sottoporre a un eventuale tentativo di infezione.
La catena descritta dall’inchiesta può essere riassunta in quattro fasi.
1. Distribuzione dell’annuncio. Discover-Tech acquista spazi pubblicitari attraverso circuiti utilizzati anche da normali inserzionisti. L’annuncio viene visualizzato su un sito o all’interno di un’app.
2. Identificazione del dispositivo. La visualizzazione può attivare una comunicazione con server esterni e trasmettere identificatori pubblicitari, cookie, indirizzi IP o altre informazioni tecniche.
3. Selezione del bersaglio. Il sistema confronta le informazioni disponibili con i criteri di targeting. Il dispositivo può essere semplicemente profilato oppure identificato come obiettivo di un’operazione successiva.
4. Eventuale compromissione. Se il dispositivo viene selezionato e sono presenti le condizioni tecniche necessarie, la catena può proseguire con la distribuzione di codice malevolo e lo sfruttamento di vulnerabilità.
Il banner non deve necessariamente contenere direttamente lo spyware. Può fungere da punto di attivazione, lasciando a un’infrastruttura remota la decisione su quale codice inviare e a quale dispositivo.
Questa caratteristica rende l’operazione particolarmente difficile da individuare attraverso una semplice analisi dell’annuncio: la stessa inserzione può apparire innocua a un utente e attivare un comportamento differente quando viene visualizzata dal dispositivo selezionato.
Il termine zero-click descrive un attacco che non richiede un’azione esplicita della vittima. Non è necessario aprire un allegato, seguire un link o autorizzare consapevolmente un’installazione.
Nel caso AdFection, la visualizzazione dell’annuncio può essere sufficiente ad avviare determinate fasi della catena, mentre la compromissione completa dipende dalle condizioni tecniche e dalle vulnerabilità sfruttate. È questa la differenza rispetto al phishing tradizionale. In un attacco di phishing, il criminale cerca generalmente di convincere la vittima a compiere un’azione. In una campagna zero-click, invece, l’operazione può procedere automaticamente, senza che l’utente si accorga di aver innescato un processo pericoloso.
Secondo Citizen Lab, l’indagine costituisce la prima conferma tecnica pubblica di spyware mercenario zero-click distribuito attraverso pubblicità mirata.
La novità non consiste soltanto nell’assenza del clic, ma nell’utilizzo di un’infrastruttura commerciale diffusa per individuare in modo selettivo le persone da colpire.
Uno degli elementi centrali del rapporto è il collegamento tra Discover-Tech e Candiru, società israeliana specializzata nello sviluppo di strumenti di sorveglianza informatica, successivamente associata al nome Integrity Labs.
Candiru è stata inserita nel 2021 nella Entity List del Dipartimento del Commercio degli Stati Uniti. Washington ha motivato la misura con il coinvolgimento della società nello sviluppo e nella fornitura di strumenti informatici utilizzati contro funzionari pubblici, giornalisti, attivisti e altri soggetti.
Secondo Citizen Lab e Confiant, l’infrastruttura di Discover-Tech avrebbe offerto a Candiru e ad altri operatori un canale per individuare i bersagli e distribuire spyware attraverso la pubblicità.
Il modello è significativo perché mette in relazione due settori apparentemente distinti: quello della tecnologia pubblicitaria e quello della sorveglianza informatica offensiva.
La prima dispone di strumenti per raggiungere grandi quantità di dispositivi, classificare gli utenti e gestire identificatori digitali. Il secondo sviluppa software in grado di sfruttare vulnerabilità, ottenere accesso ai dispositivi e raccogliere informazioni riservate.
Il collegamento fra i due ambienti può ridurre la distanza tra l’individuazione di un bersaglio e il tentativo di comprometterlo.
Il rapporto descrive inoltre collegamenti con altri operatori della sorveglianza commerciale.
Resta il dato sostanziale: due società israeliane, Discover-Tech e Candiru, compaiono al centro della ricostruzione tecnica di un sistema che avrebbe utilizzato gli annunci online per facilitare attività di sorveglianza e attacchi informatici mirati.
Al Jazeera: almeno 45 dispositivi compromessi
La prova più concreta della compromissione di dispositivi riguarda Al Jazeera, l’emittente con sede in Qatar. Analizzando registri di rete e altre evidenze tecniche, Citizen Lab ha individuato almeno 45 dispositivi dell’organizzazione compromessi tra il 2024 e il 2025. Secondo i ricercatori, gli attacchi hanno coinvolto prevalentemente spyware riconducibile a Candiru.
La ricostruzione si basa sui collegamenti osservati tra i dispositivi interessati e le infrastrutture utilizzate nella catena d’attacco. Queste evidenze hanno permesso di ricostruire un percorso che parte dalla pubblicità, passa attraverso i sistemi di Discover-Tech e può arrivare ai server associati allo spyware.
Per una redazione giornalistica, un’infezione di questo tipo può avere conseguenze particolarmente gravi. Uno spyware avanzato può consentire, a seconda delle capacità del software e dei privilegi ottenuti, l’accesso a messaggi, documenti, fotografie, email e altre informazioni memorizzate sul dispositivo. Alcuni strumenti possono inoltre raccogliere dati dalle comunicazioni o attivare funzioni di sorveglianza.
Il rischio non riguarda soltanto i giornalisti direttamente compromessi. Può coinvolgere anche le loro fonti, i collaboratori e le persone che comunicano con loro.
L’episodio dimostra quindi che la tecnica descritta non è soltanto un’ipotesi teorica: esistono evidenze tecniche pubbliche di dispositivi infettati attraverso una catena collegata agli annunci pubblicitari.
Milioni di dispositivi raggiunti
Le dimensioni dell’infrastruttura sono uno degli aspetti più allarmanti dell’indagine.
Citizen Lab ha analizzato circa quattro miliardi di registrazioni relative alle aste pubblicitarie. Nell’arco di quattro mesi, gli annunci riconducibili a Discover-Tech sarebbero comparsi su quasi 200.000 tra siti web e applicazioni Android e iOS, distribuiti in decine di Paesi.
Secondo Confiant, la società arrivava a distribuire almeno dieci milioni di visualizzazioni pubblicitarie al giorno. I ricercatori hanno inoltre osservato che milioni di dispositivi venivano indirizzati verso server riconducibili a Candiru, probabilmente per attività di tracciamento e ricognizione.
Questi numeri non equivalgono al numero di persone infettate. La visualizzazione di un annuncio può comportare soltanto una raccolta di informazioni, mentre l’infezione richiede ulteriori condizioni e passaggi tecnici.
La portata della distribuzione resta comunque significativa: una rete pubblicitaria può raggiungere utenti in molti Paesi, attraverso servizi e applicazioni di uso quotidiano, senza che il proprietario del dispositivo abbia alcun motivo per sospettare un’operazione di sorveglianza.
Tra i servizi sui quali sarebbero comparsi annunci gestiti da Discover-Tech figurano applicazioni popolari e siti di informazione, tra cui Duolingo, Yahoo Mail, BBC e New York Times.
È fondamentale precisare che la presenza di annunci su questi servizi non dimostra che le rispettive aziende abbiano partecipato consapevolmente alla campagna.
Il sistema pubblicitario programmatico coinvolge numerosi intermediari e permette agli inserzionisti di acquistare spazi attraverso aste automatizzate. Un sito può ospitare un’inserzione senza conoscere tutte le finalità dell’operatore che l’ha acquistata o il comportamento del codice che viene caricato sul dispositivo.
Secondo le ricostruzioni dei ricercatori, Discover-Tech avrebbe sfruttato proprio questa frammentazione per far apparire le proprie inserzioni in un ecosistema molto esteso.
Il problema, dunque, riguarda anche i controlli applicati alla filiera pubblicitaria: verificare l’identità degli inserzionisti e analizzare il comportamento degli annunci è essenziale quando un sistema commerciale può essere utilizzato per operazioni di sorveglianza.
Il tracciamento dei numeri telefonici
L’indagine descrive anche attività di identificazione degli utenti attraverso la combinazione di dati pubblicitari e informazioni provenienti dalle reti mobili.
Citizen Lab ha individuato elementi relativi a un’operazione denominata Dark Cartographer, nella quale l’infrastruttura pubblicitaria sarebbe stata utilizzata per collegare identificatori digitali degli smartphone ai numeri telefonici degli utenti.
Il procedimento avrebbe permesso di passare da un identificatore pubblicitario, normalmente utilizzato per riconoscere un dispositivo all’interno dell’ecosistema commerciale, a informazioni potenzialmente più direttamente identificative.
I ricercatori hanno inoltre esaminato tecniche che avrebbero tentato di sfruttare particolari comportamenti delle reti mobili e dei servizi di autenticazione automatica, nonché di individuare l’indirizzo IP reale di alcuni utenti che utilizzavano VPN o proxy.
Secondo l’indagine, le vulnerabilità e le tecniche esaminate riguarderebbero operatori mobili in oltre 30 Paesi e alcune attività sarebbero riconducibili a un periodo iniziato almeno nel 2019.
Non significa che tutti gli utenti di questi operatori siano stati identificati o attaccati. Le evidenze riguardano specifiche tecniche e infrastrutture. Il dato, tuttavia, mostra quanto possa essere invasiva la combinazione di identificatori pubblicitari, informazioni di rete e strumenti di sorveglianza.
Come proteggersi da un attacco che non richiede un clic
Il caso dimostra che le precauzioni tradizionali, pur essendo necessarie, non sono sufficienti contro tutte le minacce avanzate. Non cliccare su link sospetti, non scaricare allegati sconosciuti e verificare i mittenti delle email restano comportamenti importanti. Ma un attacco zero-click può procedere senza richiedere nessuna di queste azioni.
Per ridurre il rischio è opportuno:
- Aggiornare immediatamente sistemi operativi, browser e applicazioni, installando le patch di sicurezza disponibili.
- Limitare il tracciamento pubblicitario, disattivando gli identificatori pubblicitari e le autorizzazioni non necessarie quando il dispositivo lo consente.
- Utilizzare strumenti affidabili per bloccare annunci e script pericolosi, tenendo presente che nessun filtro garantisce protezione assoluta.
- Separare i dispositivi di lavoro da quelli personali, soprattutto quando si trattano informazioni istituzionali, finanziarie o giornalistiche riservate.
- Effettuare verifiche forensi in presenza di sospetti concreti, affidandosi a specialisti in grado di analizzare i registri e gli indicatori di compromissione.
Per le istituzioni pubbliche, la risposta deve essere anche organizzativa: controlli sul traffico pubblicitario, restrizioni sui dispositivi utilizzati per attività sensibili, monitoraggio degli indicatori di compromissione e procedure di risposta agli incidenti.
Una VPN, da sola, non risolve il problema. Può limitare l’esposizione dell’indirizzo IP reale rispetto ad alcuni osservatori, ma non impedisce necessariamente la raccolta di identificatori pubblicitari né lo sfruttamento di vulnerabilità del dispositivo.
Il caso Discover-Tech pone una questione che va oltre la tecnica. Quando una società privata mette a disposizione strumenti capaci di identificare utenti e facilitare attacchi zero-click, diventa essenziale comprendere chi possa acquistare tali servizi, quali obiettivi possa selezionare e quali controlli esistano sui committenti.
L’inchiesta documenta collegamenti fra la società israeliana Discover-Tech, la piattaforma Controlium e operatori del settore dello spyware, tra cui la connazionale Candiru. Documenta inoltre la distribuzione degli annunci su una rete molto estesa. Restano invece da chiarire l’identità di tutti i clienti finali, la portata completa delle operazioni e l’eventuale coinvolgimento di specifici governi nelle singole campagne.
Per l’Italia, la priorità è verificare che cosa sia accaduto sui dispositivi collegati alla Camera dei deputati, al Ministero della Difesa e alla Banca d’Italia, distinguendo l’esposizione agli annunci dagli eventuali tentativi di compromissione.
Per l’industria pubblicitaria internazionale, il problema è impedire che le infrastrutture progettate per distribuire inserzioni commerciali diventino un canale per attività di sorveglianza e attacchi informatici.
Per i cittadini, infine, la vicenda dimostra che la sicurezza digitale non dipende esclusivamente dalle proprie scelte individuali. Dipende anche dalla trasparenza delle aziende che gestiscono i dati, dai controlli esercitati sulle piattaforme e dalla capacità delle autorità di individuare gli abusi.
Il caso Discover-Tech porta alla luce un modello nel quale la pubblicità digitale potrebbe essere sfruttata per individuare bersagli specifici e facilitare operazioni di cyber spionaggio. La presenza di una società israeliana al centro dell’inchiesta e i collegamenti segnalati con fornitori israeliani di spyware costituiscono elementi rilevanti per ricostruire la filiera tecnologica e i suoi possibili impieghi.
Resta ora da accertare chi abbia utilizzato questi strumenti, quali obiettivi siano stati selezionati, se le informazioni raccolte siano state impiegate per attività di sorveglianza, pressione o ricatto e quali conseguenze ne siano derivate.
