Citizen Lab liga empresa israelense a spyware distribuído por anúncios
Segundo a Citizen Lab, a empresa israelense Discover-Tech opera uma plataforma que usa anúncios para perfilar usuários e enviar spyware a alvos escolhidos, e foi retirada das listas de fornecedores do Google e da IAB Europe.
Pontos principais
- A Citizen Lab diz, com alta confiança, que dispositivos da Al Jazeera foram alvo e infectados com o spyware Candiru por meio de anúncios.
- A Citizen Lab registra bilhões de lances da Discover-Tech para enviar anúncios a usuários, e diz não ter encontrado sinal de atividade publicitária legítima da empresa.
- A TrendAI identifica como SHADOW-EARTH-79, codinome de pesquisa sem empresa confirmada, um comprador que é o maior licitante vencedor em 105 países no tráfego da Starlink.
- Esse comprador responde por cerca de 13% dos lances vencedores no tráfego da Starlink, cerca de cinco vezes a média dos demais licitantes, segundo a TrendAI.
- A TrendAI diz que os dados mostram anúncios direcionados a faixas de endereços IP da Starlink, sem identificar clientes individuais do serviço.
- Em regiões sancionadas ou em conflito ativo, como Síria, Líbia, Iêmen e Sudão do Sul, o mesmo comprador é o principal licitante, segundo a TrendAI.
- A TrendAI avalia, com confiança moderada a alta, que a atividade funciona como infraestrutura de rastreamento, e não como publicidade comum.
- A TrendAI reconhece que seus dados vêm de uma única plataforma de demanda e que o alcance real provavelmente é bem maior.
A Citizen Lab descreve a empresa israelense Discover-Tech como uma ponte entre a publicidade digital e empresas de spyware mercenário. Segundo a organização, a plataforma Controlium, operada pela Discover-Tech, permite a essas empresas perfilar e identificar milhões de usuários por meio de anúncios e, em alvos escolhidos, enviar anúncios com exploits que instalam spyware sem nenhum clique.
A Citizen Lab também encontrou impressões da Discover-Tech em redes operadas por governos de 24 países, entre eles Brasil, Israel, Noruega e Suécia. A organização diz que essa presença exige investigação urgente para saber se houve infecções, e ressalva que uma impressão de anúncio, por si só, não confirma segmentação ou infecção. A investigação segue em andamento.
Fontes primárias
Invasive Ads: The Unconventional Cyber Surveillance Attack Surface (TrendAI)
Relatório de 15/10/2026 sobre leilões de publicidade em tempo real usados para vigilância. Observa um licitante que chama de SHADOW-EARTH-79 (codinome de pesquisa, não nome confirmado de empresa). Com confiança moderada a alta, conclui que a atividade funciona como infraestrutura de rastreamento e não como publicidade comum. É o maior licitante vencedor em 105 países no tráfego da Starlink, com cerca de 13% dos eventos de lance vencedor na Starlink, aproximadamente cinco vezes a média dos demais. Os dados mostram impressões de anúncio direcionadas a espaço de endereços IP da Starlink; o relatório diz não identificar clientes individuais da Starlink. Dados agregados vão de 31/12/2025 a 15/08/2026 e detalhe por linha de 29/07 a 15/08/2026, a partir de uma única plataforma de demanda, limitação reconhecida pelos autores. O relatório não cita Discover-Tech nem Israel.
Exposing AdFection: Executive Summary
Sumário executivo de 15/10/2026 que descreve o ataque AdFection, em que leilões de anúncios em tempo real perfilam usuários e entregam spyware de mercenários sem clique. A empresa central é a Discover-Tech, descrita como firma com sede em Israel que se apresenta como empresa de publicidade mas, segundo o relatório, liga fornecedores de spyware ao ecossistema de anúncios. Os autores afirmam não ter encontrado evidência de atividade publicitária legítima da Discover-Tech e citam bilhões de registros de lances dela enviando anúncios a dispositivos em dezenas de países. Com alta confiança, reportam que dispositivos da Al Jazeera foram infectados com spyware Candiru via AdFection. O sumário não menciona a Starlink. Os autores ressalvam que uma impressão de anúncio da Discover-Tech não confirma, por si só, segmentação ou infecção, e que a investigação segue em andamento.