AdFection, spyware nascosti nelle pubblicità: coinvolta anche l'Italia

17/10/2026 SCIENZA E TECNOLOGIA Condividi Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Una rete di sorveglianza informatica ha sfruttato gli annunci pubblicitari online per identificare e infettare dispositivi senza richiedere alcun clic agli utenti. La tecnica, denominata AdFection, è stata documentata dal Citizen Lab dell'Università di Toronto e dalla società di sicurezza Confiant in un'indagine pubblicata il 15 ottobre 2026. Al centro dell'inchiesta figura Discover-Tech, azienda israeliana che avrebbe messo le proprie infrastrutture pubblicitarie a disposizione di produttori di spyware. Tra le reti raggiunte dagli annunci figurano anche quelle di istituzioni italiane, sebbene la loro esposizione non costituisca una prova di infezione.

Come funziona l'attacco zero-click attraverso gli annunci online

Il meccanismo sfrutta il sistema delle aste pubblicitarie in tempo reale, attraverso il quale gli inserzionisti acquistano spazi su siti web e applicazioni. Quando una persona visita una pagina, le piattaforme pubblicitarie elaborano informazioni relative al dispositivo e alla navigazione per stabilire quale annuncio mostrare. Questi dati possono comprendere indirizzi IP, cookie e identificativi utilizzati per riconoscere gli utenti. La società israeliana impiegava tale infrastruttura non soltanto per raccogliere informazioni, ma anche per selezionare singoli obiettivi e indirizzare verso di loro contenuti potenzialmente dannosi.

La piattaforma utilizzata dall'azienda, chiamata Controlium, consentiva di analizzare i dati raccolti e decidere quale contenuto inviare al dispositivo. In presenza di un obiettivo selezionato, il codice eseguito attraverso l'inserzione poteva attivare ulteriori comunicazioni con server controllati dagli operatori della sorveglianza. Gli attacchi sfruttavano vulnerabilità informatiche per installare software spia senza alcuna autorizzazione della persona colpita. Lo stesso annuncio poteva apparire innocuo su un computer e assumere una funzione offensiva su un altro, rendendo particolarmente difficile individuare il codice malevolo attraverso una semplice analisi della pubblicità.

Il laboratorio canadese ha collegato questa infrastruttura a società specializzate nello sviluppo di strumenti di intrusione, tra cui Candiru e Bindecy. La prima era già stata inserita nel 2021 nella lista nera del Dipartimento del Commercio statunitense. L'indagine rappresenta la prima conferma tecnica pubblica dell'impiego di spyware mercenari distribuiti mediante pubblicità mirata e capaci di compromettere un dispositivo senza interazione dell'utente. La tecnica si distingue dal normale tracciamento commerciale perché associa l'identificazione di una persona alla possibilità di eseguire codice destinato a violarne i sistemi.

Dalla Camera dei deputati alla Difesa: le reti italiane raggiunte

Tra i destinatari delle inserzioni riconducibili a Discover-Tech compaiono dispositivi collegati alle reti della Camera dei deputati, del Ministero della Difesa e della Banca d'Italia, come segnalato dalle ricostruzioni giornalistiche italiane dell'inchiesta. Il passaggio degli annunci attraverso queste infrastrutture indica una possibile attività di raccolta e profilazione dei dati, ma i ricercatori non hanno documentato compromissioni dei sistemi delle istituzioni coinvolte. È una distinzione fondamentale: la visualizzazione di una pubblicità non dimostra che il dispositivo sia stato selezionato per un attacco, né che uno spyware sia effettivamente riuscito a installarsi.

L'analisi delle registrazioni pubblicitarie ha individuato esposizioni anche su reti appartenenti a ministeri della Difesa, forze armate, agenzie nazionali di cybersicurezza e infrastrutture strategiche di diversi Paesi. Fra le organizzazioni interessate figurano la NATO, le Nazioni Unite, l'Agenzia internazionale per l'energia atomica e la Corte penale internazionale. Sono state rilevate inserzioni anche su dispositivi collegati a organizzazioni giornalistiche e aziende tecnologiche. La presenza in ambienti sensibili evidenzia l'accesso ottenuto dagli operatori della piattaforma ai circuiti pubblicitari utilizzati anche da strutture istituzionali.

Una compromissione effettiva è stata invece accertata presso Al Jazeera, dove almeno 45 computer Windows sono stati infettati tra il 2024 e il 2025. L'organizzazione giornalistica aveva individuato comunicazioni anomale provenienti dai propri dispositivi e aveva collaborato con i ricercatori per ricostruirne l'origine. L'esame del traffico informatico ha permesso di identificare collegamenti con i server pubblicitari e con l'infrastruttura impiegata per distribuire lo spyware. Non è stata accertata pubblicamente l'identità dei governi che avrebbero commissionato queste specifiche operazioni.

Miliardi di aste pubblicitarie e identificazione degli utenti

La dimensione dell'operazione emerge dai registri esaminati dagli specialisti. Tra marzo e giugno 2026, Discover-Tech ha partecipato a circa 3,7 miliardi di aste pubblicitarie, aggiudicandosene 441,9 milioni. Gli annunci sono comparsi su oltre 120mila siti web e più di 75mila applicazioni, raggiungendo potenzialmente centinaia di milioni di persone. Secondo le stime di Confiant, il sistema generava circa 10 milioni di visualizzazioni quotidiane. Le inserzioni sono state rilevate in servizi appartenenti a categorie molto diverse, comprese applicazioni di comunicazione, strumenti di identificazione delle chiamate, piattaforme educative e siti di informazione.

Un altro filone dell'indagine riguarda il gruppo denominato Dark Cartographer, che avrebbe sfruttato l'infrastruttura per collegare gli identificativi pubblicitari degli smartphone ai numeri telefonici dei proprietari. Il sistema utilizzava vulnerabilità nei servizi degli operatori mobili, comprese alcune procedure di autenticazione automatica che consentivano di ottenere informazioni personali senza un intervento consapevole dell'utente. Alcune inserzioni tentavano inoltre di scoprire l'indirizzo IP originale di persone che navigavano attraverso VPN o proxy. Le vulnerabilità individuate interessavano operatori telefonici in oltre 30 Paesi e, secondo gli investigatori, alcune tecniche erano utilizzate almeno dal 2019.

L'inchiesta ha ricostruito anche alcuni collegamenti societari con l'industria della sorveglianza israeliana. Eric Banoun, cofondatore di Circles e Senpai Technologies, ha fatto parte del consiglio di amministrazione dell'azienda pubblicitaria dal 2020 al gennaio 2025. Il suo nome compare anche nella struttura societaria di Intelos, operatore specializzato nell'utilizzo dei dati pubblicitari per attività di intelligence. I ricercatori hanno inoltre riscontrato problemi nella gestione dei dati personali, comprese raccolte di cookie effettuate in circostanze nelle quali non risultava disponibile il consenso richiesto dalla normativa europea sulla privacy.

La pubblicazione dell'indagine ha provocato interventi nei principali circuiti del settore. Google ha revocato l'accesso della società alle proprie piattaforme di scambio pubblicitario all'inizio di ottobre 2026, mentre Beeswax ha interrotto la possibilità di utilizzare i suoi sistemi per acquistare inserzioni. IAB Europe ha eliminato l'azienda dall'elenco dei fornitori autorizzati. Altri operatori, tra cui Vungle ed Eskimi, hanno rispettivamente sospeso l'accesso per ulteriori verifiche e bloccato account e domini associati all'attività esaminata. L'analisi dei ricercatori aveva inoltre individuato registrazioni di accesso alla piattaforma Controlium consultabili pubblicamente senza password, comprese credenziali riconducibili a dipendenti di aziende produttrici di spyware.