Una campagna chiamata AdFection avrebbe usato annunci mirati per consegnare exploit zero-click capaci di installare spyware su dispositivi iOS e Android. Secondo Citizen Lab, alla vittima sarebbe bastato caricare un sito web o aprire un’app già installata, senza toccare l’annuncio né compiere altre azioni.
Il laboratorio dell’Università di Toronto afferma di aver confermato l’infezione di 45 dispositivi dell’emittente internazionale Al Jazeera tra il 2024 e il 2025. Il caso mette al centro la filiera pubblicitaria mobile: strumenti nati per selezionare il pubblico degli annunci possono diventare un canale di consegna estremamente selettivo per malware commerciali.
Come avrebbe funzionato AdFection
Un exploit zero-click sfrutta una vulnerabilità senza richiedere un’interazione da parte dell’utente. In questo caso, gli annunci avrebbero attivato il codice necessario all’infezione nel momento in cui il bersaglio caricava una pagina o apriva un’applicazione che mostrava la pubblicità.
È un meccanismo particolarmente difficile da individuare proprio perché non lascia il segnale più evidente per chi usa il dispositivo: un link aperto, un file scaricato o un’autorizzazione concessa. Citizen Lab sottolinea che questi attacchi sarebbero invisibili in assenza di strumenti hardware o software forensi specifici.
La campagna avrebbe colpito sia iOS sia Android. Il punto non è quindi una singola app o un singolo sistema operativo, ma la possibilità di raggiungere un dispositivo attraverso gli spazi pubblicitari presenti su siti e applicazioni.
Il ruolo attribuito a Scopri-Tech
Nella ricostruzione di Citizen Lab, Scopri-Tech, società israeliana che si presenta come azienda pubblicitaria legittima, avrebbe svolto il ruolo di intermediario tra chi vuole acquistare la visualizzazione di annunci e publisher o sviluppatori di app che vendono quello spazio.
Il laboratorio definisce la società un ponte fra fornitori di pubblicità e operatori di spyware mercenario, sostenendo che l’intermediazione con questi partner sembri esserne lo scopo principale. Si tratta di un’attribuzione contenuta nel rapporto, non della conferma di un’accusa da parte di un’autorità giudiziaria nel materiale disponibile.
Il modello si basa sulle aste pubblicitarie: gli inserzionisti offrono una cifra per mostrare un annuncio a persone che rientrano in determinate caratteristiche. Identificativi mobili univoci, posizione, indirizzo IP e altri segnali consentirebbero di costruire profili molto dettagliati e di restringere la distribuzione a bersagli specifici.
I numeri della rete pubblicitaria analizzata
Citizen Lab riferisce di aver ottenuto oltre 4 miliardi di record di offerte gestiti da Scopri-Tech. Dai dati risulterebbe che gli annunci della società sono comparsi in più di 70.000 app mobili e oltre 120.000 siti web fra marzo e giugno 2026.
Questi numeri non dimostrano che tutte le app e tutti i siti coinvolti fossero consapevoli della campagna o compromessi. Descrivono invece l’ampiezza dell’infrastruttura pubblicitaria attraverso cui gli annunci potevano essere distribuiti, una distinzione essenziale per non confondere chi ospita spazi pubblicitari con chi orchestra un attacco.
Perché giornalisti e redazioni sono un bersaglio sensibile
Citizen Lab presenta il caso come quella che potrebbe essere la prima conferma di spyware mercenario distribuito tramite annunci mirati e con exploit zero-click. I ricercatori avvertono che organizzazioni giornalistiche, giornalisti, editor e altri dipendenti potrebbero essere presi di mira sia dentro sia fuori dalle redazioni.
Per un obiettivo selezionato, la pubblicità digitale offrirebbe un vantaggio rilevante: la consegna del malware può essere associata a dati di profilazione già raccolti dall’ecosistema degli annunci. Il rischio riguarda quindi non soltanto i potenziali bersagli, ma anche stati e società civile, secondo la valutazione del laboratorio.
FAQ
Che cosa significa zero-click?
Indica un attacco che non richiede un’azione della vittima. Nel caso descritto, sarebbe stato sufficiente visualizzare una pagina web o aprire un’app che caricava l’annuncio malevolo.
Quante infezioni sono state confermate?
Citizen Lab afferma di aver confermato 45 dispositivi infettati presso Al Jazeera nel 2024 e nel 2025. Il dato riguarda l’organizzazione indicata nel rapporto, non un conteggio complessivo di tutte le possibili vittime.
Le app e i siti che mostravano gli annunci erano responsabili dell’attacco?
Il materiale disponibile segnala la presenza degli annunci in una vasta rete di app e siti, ma non afferma che tutti gli operatori ne fossero a conoscenza. L’accusa di Citizen Lab riguarda il meccanismo di intermediazione e consegna degli annunci.
Considerazioni finali
Il dato più inquietante non è soltanto l’uso di uno spyware, ma l’impiego della pubblicità digitale come canale di selezione e consegna. Un annuncio è normalmente percepito come rumore di fondo della navigazione; se può diventare un veicolo zero-click, quella normalità rende l’attacco molto più difficile da riconoscere per chi ne è colpito.
La ricostruzione di Citizen Lab mostra soprattutto quanto la profilazione pubblicitaria possa avere conseguenze che vanno oltre il marketing. I 45 dispositivi attribuiti al caso Al Jazeera e l’ampiezza della rete descritta rendono decisivo un punto: i dati usati per raggiungere un pubblico possono anche rendere individuabile un bersaglio.