La società israeliana di tecnologia pubblicitaria Discover-Tech ha usato normali annunci online per tracciare le persone e installare spyware sui loro dispositivi, secondo un'inchiesta di Reuters pubblicata il 15 ottobre 2026. L'azienda ha distribuito i propri annunci su una vasta rete di siti web e applicazioni tramite piattaforme pubblicitarie gestite da Google, Comcast e Yandex.

Indagini indipendenti di Citizen Lab e Confiant hanno descritto il funzionamento dell'operazione: il semplice caricamento di un annuncio poteva esporre gli utenti a sorveglianza o spyware, anche senza alcun click.

Perché il solo caricamento di un annuncio era sufficiente a compromettere un dispositivo

Il real-time bidding, il sistema che mette all'asta gli spazi pubblicitari in millisecondi, condivide dati sul dispositivo e sulla posizione con potenziali acquirenti, e alcuni annunci eseguono anche codice. Questa combinazione di dati condivisi e codice eseguibile negli annunci è ciò che i ricercatori hanno individuato come la vulnerabilità sfruttata dalla tecnica. Citizen Lab ha denominato "AdFection" la tecnica di spyware zero-click e collega Discover-Tech a Candiru, produttore israeliano di spyware inserito nella lista nera degli Stati Uniti nel 2021.

Il 12 aprile 2026, Confiant ha identificato un banner MyIPInfo che reindirizzava, attraverso Amazon CloudFront, verso un'infrastruttura collegata a Candiru. L'annuncio caricava un falso strumento di verifica contenente circa 90KB di JavaScript nascosto, che gli permetteva di raccogliere informazioni sul dispositivo e comunicare attraverso un canale crittografato. Confiant ha indagato sull'attività tra aprile e settembre 2026.

45 macchine infette ad Al Jazeera, milioni di altre esposte

Citizen Lab ha esaminato quattro miliardi di record di aste e ha scoperto che Discover-Tech aveva prenotato i propri annunci su almeno 120.000 siti web e in 75.000 applicazioni. Secondo le stime di Confiant, almeno 10 milioni di annunci venivano distribuiti ogni giorno tramite Discover-Tech. Il cofondatore di Confiant, Jerome Dangu, ha dichiarato che "molto probabilmente centinaia di milioni di persone sarebbero state toccate da Discover-Tech."

Citizen Lab ha confermato che lo spyware di Candiru ha compromesso 45 macchine Windows ad Al Jazeera tra il 2024 e il 2025. L'emittente ha dichiarato di "condannare gli attacchi spyware rivolti a diversi suoi dipendenti."

Gli annunci di Discover-Tech sono comparsi anche su reti associate ad agenzie governative e internazionali, tra cui il Pentagono, le Nazioni Unite, la NATO, la Commissione Europea, l'Agenzia Internazionale l'Energia Atomica e la Corte Penale Internazionale. I ricercatori hanno inoltre rilevato gli annunci su reti collegate ai produttori di chip Nvidia, Broadcom e Micron.

Tuttavia, l'esposizione non significa necessariamente infezione. A differenza delle compromissioni riportate ad Al Jazeera, queste comparse non dimostrano che lo spyware abbia effettivamente infettato i dispositivi di quelle istituzioni.

Google, IAB Europe e Beeswax interrompono l'accesso

Google ha rimosso Discover-Tech dalla sua piattaforma pubblicitaria "per violazioni sistematiche delle nostre policy". IAB Europe ha eliminato l'azienda dal proprio elenco di fornitori approvati, e Beeswax di Comcast ne ha bloccato l'accesso alla piattaforma.

I risultati hanno sollevato preoccupazioni più ampie sulla sicurezza della pubblicità online. Il ricercatore di Citizen Lab Wolfie Christl ha avvertito che "il funzionamento attuale della pubblicità online rappresenta una minaccia sistemica per la sicurezza."

Un mercato da 1.340 miliardi di dollari costruito sulla stessa infrastruttura

Il mercato pubblicitario continua a crescere, alzando gli obiettivi in gioco per la sicurezza. Il real-time bidding è al centro di questo ecosistema: le stesse aste che allocano miliardi di spesa decidono anche quali annunci — e il codice che trasportano — raggiungano i dispositivi degli utenti. WARC prevede che la spesa pubblicitaria globale raggiunga 1.340 miliardi di dollari nel 2026, mentre la pubblicità programmatica negli Stati Uniti ha generato 162,4 miliardi di dollari nel 2025, secondo i dati IAB. Le misure di sicurezza non sono riuscite a tenere il passo con il crescente utilizzo dell'intelligenza artificiale nel settore pubblicitario.

Una ricerca IAB mostra che solo circa il 40% degli acquirenti pubblicitari intervistati ha già intrapreso o prevede di intraprendere azioni riguardo ai rischi legali, di sicurezza e dei dati legati alla misurazione basata sull'IA.

La Norvegia ha recentemente multato Xandr, di proprietà Microsoft, con 92 milioni di corone norvegesi per la condivisione illecita di dati sensibili di Grindr tramite aste pubblicitarie — una violazione della privacy, non un caso di spyware. Il regolatore Line Coll ha affermato che la responsabilità "non può essere trasferita ad altri."

Il caso Discover-Tech arriva mentre le aziende pubblicitarie investono sempre più nei dati dei consumatori e nel targeting basato sull'IA. Come Cryptopolitan aveva precedentemente riportato, Publicis Groupe ha firmato un accordo per acquistare LiveRamp per 2,2 miliardi di dollari, rafforzando le proprie attività di marketing basate sull'IA. Pur non avendo alcun legame con gli attacchi spyware, l'accordo sottolinea quanto dati e automazione siano diventati centrali per il settore.

Citizen Lab ha chiesto indagini su Discover-Tech e Candiru, esercitando pressione sulle piattaforme pubblicitarie affinché migliorino la selezione dei fornitori e il rilevamento degli annunci dannosi. Resta da vedere se queste richieste porteranno a indagini formali — e a una selezione più rigorosa dei fornitori lungo tutta la filiera dell'ad tech.