Um novo vetor de ataque cibernético que transforma anúncios online em armas de infecção silenciosa foi exposto pelo Citizen Lab, da Universidade de Toronto. Batizada de AdFection, a técnica não exige que a vítima clique em nada nem baixe arquivos — o simples carregamento de um anúncio já é suficiente para ativar um spyware no dispositivo. O mecanismo explora o mercado de publicidade programática, onde empresas disputam espaços em milissegundos, e representa uma escalada perigosa no uso de spyware mercenário contra jornalistas, ativistas e organizações internacionais.
Como funciona o ataque AdFection?
O coração do AdFection é o sistema de leilões automatizados de anúncios digitais. Nesse ecossistema, empresas de publicidade como a Discover-Tech rastreiam dispositivos específicos em tempo real, cruzando dados de navegação, localização e identificadores únicos de hardware. Quando um usuário acessa um site ou aplicativo que exibe anúncios, a plataforma de leilão identifica o aparelho e, se ele estiver na lista de alvos, direciona um payload malicioso embutido no criativo publicitário. O spyware é então entregue sem que a vítima perceba — uma infecção do tipo clique zero.
De acordo com os pesquisadores, a Discover-Tech conectou seus sistemas aos servidores da desenvolvedora de spyware Candiru, conhecida por vender ferramentas de vigilância para governos. A ponte entre as duas empresas permitiu que anúncios fossem usados como veículo para programas espiões avançados, como o Pegasus (embora o relatório não confirme qual spyware específico foi usado). O Citizen Lab identificou que ao menos 45 dispositivos ligados ao canal de notícias Al Jazeera foram infectados entre 2024 e 2025, sugerindo um alvo claro: jornalistas investigativos.
O papel da Discover-Tech e da Candiru na cadeia de infecção
A Discover-Tech atuava como intermediária no mercado de anúncios programáticos, conseguindo acesso a inventários de grandes plataformas, incluindo redes da OTAN e da ONU. A empresa utilizava técnicas de fingerprinting para identificar dispositivos com alta precisão — cruzando endereços IP, cookies, user agents e outras informações — e então disparava anúncios específicos para aqueles alvos. A Candiru, por sua vez, fornecia o spyware que, uma vez carregado, explorava vulnerabilidades do sistema operacional para se instalar sem interação do usuário.
O relatório do Citizen Lab descreve esse esquema como o primeiro caso documentado de spyware mercenário distribuído por meio de publicidade digital. “A plataforma permite que atores maliciosos perfilem e retirem o anonimato de milhões de indivíduos, identifiquem seus dispositivos e os atinjam com uma forma de invasão de clique zero”, afirmam os pesquisadores. A operação ocorreu entre março e junho de 2025, com pico de atividade em maio.
Reação das plataformas e consequências para o setor
Após a divulgação do estudo, grandes empresas de tecnologia reagiram rapidamente. A Alphabet, controladora do Google, confirmou que encerrou o acesso da Discover-Tech às suas plataformas de leilão de anúncios, impedindo a empresa de dar lances ou exibir anúncios em todo o ecossistema Google. Além disso, ativou proteções de Navegação Segura para alertar usuários que possam encontrar domínios controlados pelo grupo. A IAB Europe e a plataforma Beeswax também suspenderam o acesso da Discover-Tech às suas redes comerciais.
O Google informou ao Citizen Lab que as medidas foram tomadas após checagens internas conduzidas em conjunto com especialistas em cibersegurança. A Discover-Tech e os representantes da Candiru não se pronunciaram publicamente sobre as revelações. O episódio expõe uma fragilidade estrutural na distribuição de mídias programáticas: a verificação de anunciantes nem sempre é capaz de bloquear ferramentas maliciosas antes que atinjam o público final.
O que o AdFection significa para o usuário comum?
Embora o ataque tenha sido direcionado a jornalistas e organizações específicas, o mecanismo pode ser adaptado para atingir qualquer pessoa. A ausência de sinais visíveis de contaminação — sem pop-ups suspeitos, sem downloads explícitos — torna a detecção quase impossível para o usuário médio. A única forma de proteção atual é a ação das plataformas de anúncios e a adoção de bloqueadores de anúncios rigorosos, além de manter o sistema operacional e os aplicativos sempre atualizados para corrigir vulnerabilidades exploradas por spyware.
Para o mercado publicitário, o caso AdFection serve como um alerta. A combinação de inteligência publicitária com entrega de spyware exige mudanças nas regras de checagem de anunciantes e na transparência dos leilões programáticos. Enquanto essas medidas não forem adotadas de forma ampla, a infraestrutura de anúncios continuará sendo um vetor em potencial para ataques cibernéticos de alto impacto.
O ataque AdFection demonstra que a fronteira entre publicidade e espionagem digital está cada vez mais tênue. Com a capacidade de infectar dispositivos sem interação do usuário e o uso de sistemas legítimos de anúncios como disfarce, essa técnica representa um novo patamar de ameaça no cenário de segurança digital. A resposta das grandes plataformas foi rápida, mas o precedente está estabelecido: qualquer anúncio pode, em tese, esconder um payload malicioso.
