Uma investigação do Citizen Lab revelou a primeira confirmação técnica pública de spyware mercenário entregue por anúncios direcionados sem exigir clique da vítima. O caso mostra que a publicidade programática pode ser usada não apenas para rastrear pessoas, mas também como parte de uma cadeia de invasão altamente seletiva.
Isso não significa que qualquer anúncio esteja infectando todo mundo. Os ataques documentados foram direcionados a alvos específicos, e o número de anúncios exibidos é muito maior do que o total de dispositivos com infecção confirmada. A novidade está no método: um sistema criado para decidir qual publicidade cada pessoa vê também pode ajudar um operador a identificar o aparelho certo e entregar código malicioso no momento em que o anúncio é carregado.
O que a investigação confirmou
O Citizen Lab atribuiu com alta confiança à infraestrutura da Discover-Tech uma série de ataques contra a rede Al Jazeera em 2024 e 2025. Pelo menos 45 dispositivos foram atingidos pelo spyware da Candiru, empresa também conhecida como Integrity Labs.
Segundo os pesquisadores, os registros de rede mostraram uma sequência consistente. Primeiro, o dispositivo fazia contato com a infraestrutura usada para servir o anúncio. Em seguida, conectava-se a um servidor de validação da Candiru, que verificava o aparelho antes das etapas de perfilamento e infecção.
A técnica recebeu o nome AdFection. O relatório a descreve como a primeira demonstração técnica pública, em ataques reais, de spyware mercenário sem clique entregue por publicidade direcionada.
Como um anúncio vira parte do ataque
A publicidade programática funciona por leilões automatizados. Quando uma página ou aplicativo abre um espaço publicitário, sistemas disputam em frações de segundo o direito de mostrar uma peça naquele local.
A Discover-Tech operava plataformas capazes de participar desses leilões e associar impressões a identificadores de publicidade, endereços IP e outras características do dispositivo. Quando o anúncio era renderizado, um servidor avaliava se aquele visitante correspondia ao alvo procurado.
Para a maioria das pessoas, o servidor podia não devolver conteúdo adicional. Para um aparelho selecionado, porém, a mesma infraestrutura podia entregar JavaScript e encaminhar a cadeia para ferramentas de spyware. É isso que torna o ataque “sem clique”: a vítima não precisava tocar no anúncio, baixar um arquivo ou abrir um link suspeito.
O ponto crítico é a combinação de duas capacidades. A primeira é localizar e reconhecer um dispositivo dentro do enorme fluxo de publicidade. A segunda é explorar uma falha no software para instalar o spyware. A publicidade, sozinha, não substitui o exploit, mas fornece alcance, dados de identificação e uma rota discreta até o alvo.
Escala não é o mesmo que número de vítimas
A análise encontrou quase quatro bilhões de registros de leilões entre março e junho de 2026. Os anúncios ligados à Discover-Tech apareceram em mais de 70 mil aplicativos móveis e mais de 120 mil sites.
Esses números demonstram a dimensão da infraestrutura, não centenas de milhares de infecções. O relatório confirma ataques contra pelo menos 45 dispositivos da Al Jazeera e descreve milhões de contatos com servidores associados à Candiru, possivelmente para rastreamento e reconhecimento. Não há base pública para afirmar que todos esses contatos resultaram em invasão.
O Brasil aparece entre os países com maior volume bruto de lances no conjunto analisado. Isso indica presença da operação no ecossistema publicitário local, mas não prova que usuários brasileiros tenham sido infectados. A investigação também identificou ligações de operadores a vários países, incluindo Portugal, sem concluir que exista uma campanha ampla contra consumidores portugueses.
Por que o caso muda a discussão sobre segurança
A recomendação tradicional de “não clicar em links suspeitos” continua útil contra golpes comuns, mas não responde a um ataque desse tipo. Aqui, a pessoa pode abrir um site legítimo ou um aplicativo conhecido e receber o conteúdo malicioso por uma cadeia de fornecedores de publicidade que ela não vê.
O caso também expõe uma falha de confiança entre plataformas, redes de anúncios e intermediários. A Discover-Tech esteve em listas de fornecedores aceitos durante anos. Após a investigação, Google e IAB Europe removeram a empresa de seus registros, enquanto outras plataformas bloquearam, suspenderam ou revisaram seu acesso.
A consequência não é que toda publicidade digital deva ser tratada como malware. É que a segurança não pode depender apenas do comportamento do usuário. Redes de anúncios precisam verificar compradores e fornecedores, limitar a coleta de identificadores e detectar código que muda conforme o visitante.
O que o leitor pode fazer
Para a maioria das pessoas, o cenário continua sendo de vigilância dirigida, não de infecção em massa. Manter sistema, navegador e aplicativos atualizados reduz a exposição a falhas já corrigidas. Limitar o rastreamento publicitário e usar bloqueio de conteúdo, quando compatível com o dispositivo e o serviço, também pode reduzir parte da superfície de identificação e entrega, mas não oferece garantia contra spyware avançado.
Jornalistas, ativistas, autoridades, executivos e outras pessoas com risco elevado precisam de uma abordagem mais forte: apoio especializado, monitoramento de dispositivos, separação entre atividades sensíveis e uso cotidiano e recursos de segurança reforçada oferecidos pelas próprias plataformas.
A lição mais importante é coletiva. Quando o mesmo ecossistema consegue reconhecer um aparelho em milhares de sites e aplicativos, ele também pode ser abusado para chegar silenciosamente a um alvo. A defesa depende tanto de atualizações no dispositivo quanto de controles mais rigorosos sobre quem participa da cadeia de publicidade digital.