Spyware nella pubblicità: come un annuncio infettava senza clic

La risposta in breve: il 15 ottobre 2026 il Citizen Lab dell'Università di Toronto ha dimostrato per la prima volta, con prove tecniche, che uno spyware è stato distribuito tramite normali annunci pubblicitari, senza che nessuno dovesse cliccare. Gli annunci dell'israeliana Discover-Tech sono comparsi in oltre 75.000 app e anche su reti istituzionali italiane. Le infezioni confermate riguardano dispositivi scelti con precisione, non la massa degli utenti.

Cosa ha scoperto il Citizen Lab

Il Citizen Lab è un gruppo di ricerca dell'Università di Toronto che da anni smaschera i software di sorveglianza usati dagli Stati, noto tra l'altro per le analisi sullo spyware Pegasus. Nel rapporto pubblicato il 15 ottobre 2026, uscito in contemporanea con un'indagine della società di sicurezza pubblicitaria Confiant, i ricercatori descrivono un metodo che chiamano "AdFection": infezione tramite annuncio.

Al centro c'è Discover-Tech Ltd, società israeliana fondata nel 2020. All'esterno si presenta come fornitore di tecnologia pubblicitaria, con una piattaforma chiamata Controlium. Secondo il Citizen Lab, Controlium permette di identificare gli utenti tramite ID pubblicitari, indirizzi IP e altri dati del dispositivo, di selezionare singoli dispositivi e di sorvegliarli o infettarli. I ricercatori concludono che la funzione principale dell'azienda sembra essere quella di ponte tra il mondo della pubblicità e i produttori di spyware. Il cliente, secondo il rapporto, era Candiru, produttore israeliano di spyware mercenari che oggi si presenta come Integrity Labs ed è nella lista nera del Dipartimento del Commercio statunitense dal 2021.

L'infezione è confermata per dispositivi legati all'emittente Al Jazeera: almeno 45, attaccati nel 2024 e nel 2025. Chi altro sia finito nel mirino non è noto. Il rapporto elenca però anche le reti istituzionali su cui sono comparsi gli annunci, e tra queste ci sono reti italiane: la Banca d'Italia, la Camera dei deputati e il Ministero della Difesa. Attenzione a non leggere troppo in questo dato: un annuncio visualizzato su una rete non dimostra un'infezione. Come riporta anche The Record, Google e altre grandi piattaforme hanno nel frattempo bloccato Discover-Tech; Google e IAB Europe l'hanno rimossa dai loro elenchi di fornitori all'inizio di ottobre.

Come funziona un attacco tramite un annuncio

Per capire perché un annuncio possa diventare pericoloso bisogna conoscere il real-time bidding. Ogni volta che apri un'app gratuita o carichi un sito di notizie, lo spazio pubblicitario libero viene messo all'asta in pochi millisecondi. Il tuo dispositivo invia agli offerenti dati come ID pubblicità, posizione approssimativa e modello. È come un'asta in cui ogni interessato riceve prima una scheda del pubblico. Discover-Tech partecipava a queste aste in modo del tutto regolare.

Il momento decisivo è il caricamento dell'annuncio. Tecnicamente un annuncio è un piccolo programma che, quando viene mostrato, esegue codice. Secondo il rapporto, l'annuncio eseguiva in automatico qualsiasi codice JavaScript rimandato dal server di Discover-Tech. Se il dispositivo non era stato scelto, tornava una risposta vuota e non succedeva nulla. Per questo l'attacco era così difficile da scoprire: le reti pubblicitarie non vedevano mai il codice dannoso. Un exploit è un pezzo di codice che sfrutta una falla del browser o del sistema operativo, una specie di grimaldello fatto su misura per una serratura. Zero click significa che tu non devi fare niente, né toccare né scaricare.

È proprio qui che interviene un filtro DNS. Il DNS è la rubrica telefonica di internet: prima di raggiungere un server, il dispositivo chiede il suo indirizzo. Se il servizio DNS blocca i nomi delle reti pubblicitarie e dei server di spionaggio, il dispositivo non riceve alcun indirizzo, l'annuncio non si carica e lo script non ha nessuno da chiamare. Attiva il DNS cancelladati.it e blocca tracker e pubblicità su tutto il dispositivo.

Viber, Duolingo, Truecaller: cosa significa per te

Per la maggior parte delle persone, prima di tutto, nessun allarme. Il Citizen Lab scrive esplicitamente che un annuncio di Discover-Tech visualizzato non significa di per sé selezione o infezione. Nella grande maggioranza dei casi chi vedeva l'annuncio non veniva scelto. Anche le app coinvolte non erano manomesse: Viber, Duolingo, Truecaller, MX Player, Opera Mini o Yahoo Mail hanno semplicemente venduto spazi pubblicitari tramite reti pubblicitarie, e lì Discover-Tech comprava come qualsiasi altro inserzionista.

È una consolazione a metà. Da un lato, secondo il rapporto, da centinaia di migliaia a milioni di dispositivi sono stati indirizzati almeno verso server di Candiru. Dall'altro, il Citizen Lab descrive un secondo attore, chiamato "Dark Cartographer", che usa l'infrastruttura di Discover-Tech per collegare gli ID pubblicitari ai numeri di telefono. Chi viene collegato così non è più anonimo. Il tuo ID pubblicità diventa allora un numero civico a cui degli sconosciuti possono ritrovarti.

Quella scheda la alimentano anche i data broker, che uniscono ID pubblicitari, interessi e abitudini di spostamento in profili e li passano all'industria pubblicitaria. Meno dati hanno su di te, meno se ne può fare alla prossima asta. Come chiediamo la cancellazione dei tuoi profili a oltre 100 data broker.

Cosa fare adesso, in concreto

Il Citizen Lab consiglia ai privati un blocco della pubblicità affidabile, un browser attento alla privacy e il reset regolare dell'ID pubblicità. Abbiamo tradotto questi consigli in passaggi che puoi fare oggi in pochi minuti:

• 1. Installa subito gli aggiornamenti: uno spyware come quello di Candiru ha bisogno di una falla nel browser o nel sistema operativo. Ogni aggiornamento chiude falle di questo tipo. Attiva gli aggiornamenti automatici per sistema, browser e app, soprattutto sui telefoni più vecchi che ne ricevono pochi.
• 2. Elimina o blocca l'ID pubblicità: su Android trovi l'opzione in Impostazioni, Privacy, Annunci, "Elimina ID pubblicità" (il percorso può cambiare leggermente da un produttore all'altro). Su iPhone, in Impostazioni, Privacy e sicurezza, Tracciamento, disattiva "Consenti alle app di richiedere il tracciamento".
• 3. Blocca la pubblicità in tutto il sistema, non solo nel browser: un'estensione del browser non arriva agli annunci nelle app, ed è proprio lì che giravano oltre 75.000 degli spazi coinvolti. Un filtro DNS invece vale per tutte le app del dispositivo e, se il tuo router supporta il DNS over TLS, per ogni dispositivo della rete Wi-Fi. Configura la protezione DNS su telefono e computer.
• 4. Usa un browser con protezione dal tracciamento: Firefox, Brave o Safari bloccano già di serie molti script pubblicitari e di tracciamento. Nel browser, un'estensione affidabile come uBlock Origin completa la protezione.
• 5. Se sei più esposto, attiva la modalità di protezione rafforzata: se lavori come giornalista, in un ente pubblico, per un'organizzazione per i diritti umani o in un'azienda sensibile, attiva su iPhone la Modalità di isolamento e su Android la Protezione avanzata. Entrambe limitano proprio le funzioni da cui di solito entrano gli exploit.
• 6. Valuta le versioni senza pubblicità: molte app popolari, anche quelle del meteo, offrono una versione a pagamento senza annunci. Se usi un'app ogni giorno, così esci del tutto dall'asta pubblicitaria al suo interno.

Cosa può fare un filtro DNS e cosa no

Vogliamo essere onesti, perché una falsa sicurezza è più pericolosa di nessuna sicurezza. Il DNS cancelladati.it blocca già nel livello di protezione Standard le grandi reti pubblicitarie da cui di solito arrivano gli annunci nelle app, tra cui anche reti attraverso cui, secondo il rapporto, passavano annunci di Discover-Tech. Il 16 ottobre 2026 abbiamo aggiunto alle nostre liste di blocco anche i server principali di Discover-Tech, Controlium e Candiru indicati nel rapporto del Citizen Lab, perché nelle liste che usiamo finora mancavano. Un annuncio che non si carica non può eseguire alcuno script.

Restano due limiti. Primo: chi attacca può registrare nuovi nomi di server, e ogni lista di blocco arriva in ritardo rispetto a una nuova campagna. Secondo: un filtro DNS non chiude nessuna falla di sicurezza. Se un exploit arriva sul dispositivo per un'altra strada, aiuta solo un sistema aggiornato. La protezione DNS riduce quindi molto la superficie d'attacco, ma non sostituisce gli aggiornamenti. Per la maggior parte delle persone, questa combinazione è la protezione più efficace che funziona ogni giorno senza fatica.

Domande frequenti sugli spyware nella pubblicità

Perché la pubblicità è diventata una questione di sicurezza

Il caso Discover-Tech sposta il dibattito. Finora i blocchi della pubblicità erano una questione di comodità e di privacy; adesso la domanda è quale codice estraneo possa girare sul tuo dispositivo. Ogni annuncio che vedi è stato scelto da qualcuno che non conosci e porta con sé codice che nessuno ha controllato prima. Il Citizen Lab arriva a consigliare ai governi di bloccare la pubblicità sui dispositivi di servizio e all'ingresso della rete. Quello che vale per gli enti pubblici non è sbagliato nemmeno per una famiglia. Con il DNS cancelladati.it blocchi reti pubblicitarie, tracker e server di spionaggio noti sui tuoi dispositivi, senza app e senza che registriamo quali siti visiti. Blocca tracker e pubblicità per tutta la famiglia.