I ricercatori hanno documentato un caso di spyware pubblicitario zero-click che i giornalisti hanno incontrato nel 2024, e questo cambia il modo in cui pensiamo ai rischi della navigazione quotidiana. Al Jazeera e Citizen Lab hanno entrambi pubblicato i risultati di una campagna che chiamano "AdFection," in cui uno spyware mercenario è stato distribuito attraverso la pubblicità online. Non è stato necessario alcun tocco, alcun download e alcun link sospetto.

La questione di chi abbia effettivamente preso di mira i giornalisti rimane senza risposta. Quello che i ricercatori affermano di sapere è chi ha facilitato gli attacchi: due aziende israeliane, una delle quali è nella lista nera statunitense da circa cinque anni.

Come AdFection ha distribuito lo spyware pubblicitario zero-click ai giornalisti

Un attacco zero-click è un attacco che non richiede alcuna azione da parte della vittima. Il phishing tradizionale dipende dall'apertura di un allegato o dal tocco su un link. Qui, il canale di distribuzione era l'ecosistema pubblicitario stesso. Gli annunci si caricano automaticamente ogni volta che una pagina si carica, quindi un annuncio malevolo può raggiungere un dispositivo semplicemente perché qualcuno ha visitato un sito web.

È questo che rende la tecnica inquietante. La rete pubblicitaria, a cui la maggior parte dei lettori non pensa mai, diventa la strada su cui viaggia lo spyware. La pubblicità mirata è costruita per selezionare pubblici specifici, e la stessa precisione che consente a un marchio di raggiungere una particolare fascia demografica può, in teoria, consentire a un attaccante di raggiungere una particolare persona.

I resoconti pubblici sulla ricerca citano un'azienda pubblicitaria chiamata Discover-Tech e descrivono i produttori di spyware che la utilizzano per raggiungere i dispositivi. Questi dettagli provengono dalla copertura secondaria del rapporto di Citizen Lab, quindi verifica i risultati primari per la descrizione tecnica esatta prima di farvi affidamento.

Cosa hanno scoperto Citizen Lab e Al Jazeera

Entrambe le organizzazioni hanno pubblicato i propri risultati. I giornalisti di Al Jazeera erano tra quelli colpiti, e Citizen Lab, il gruppo di ricerca dell'Università di Toronto noto per le indagini sullo spyware commerciale, ha analizzato la campagna e le ha dato il nome AdFection. La nostra precedente copertura della scoperta di Citizen Lab secondo cui gli annunci zero-click infettavano i dispositivi dei giornalisti esamina il rapporto in maggior dettaglio.

Due punti emergono dai resoconti:

  • L'attribuzione è incompleta. I ricercatori hanno identificato i facilitatori, ma non il cliente che ha scelto gli obiettivi. Questo è tipico del mercato dello spyware mercenario, dove l'azienda che costruisce gli strumenti e la parte che li utilizza sono spesso diverse.
  • Era coinvolta un'azienda nella lista nera. Una delle due aziende israeliane è nella lista nera statunitense da circa mezzo decennio. Questo solleva domande difficili su come una tale azienda rimanga connessa all'infrastruttura commerciale e alla più ampia catena di fornitura pubblicitaria.

La copertura secondaria ha anche descritto il caso come il primo esempio pubblicamente confermato di spyware mercenario zero-click distribuito attraverso annunci mirati. Considera questa interpretazione come la caratterizzazione del lavoro di Citizen Lab così come riportata da altri, e consulta il rapporto originale per le sue affermazioni precise.

Perché giornalisti e attivisti sono presi di mira

Lo spyware mercenario è venduto come strumento di sorveglianza, e i giornalisti sono un obiettivo ricorrente perché possiedono ciò che altri vogliono: fonti, materiale non pubblicato e comunicazioni private. Un telefono compromesso può esporre contatti, messaggi, posizione e accesso al microfono. Per un reporter che lavora su storie sensibili, una singola infezione può mettere a rischio le fonti, non solo il reporter.

Il caso AdFection mostra anche perché la minaccia non è strettamente limitata ai giornalisti. Il metodo di distribuzione si basa su un'infrastruttura che tutti usano. Anche se una persona specifica è stata scelta come obiettivo, lo stesso sistema pubblicitario serve il pubblico generale. La maggior parte dei lettori è improbabile che sia un obiettivo prioritario per questo tipo di strumenti, ma il caso dimostra che il meccanismo esiste.

Cosa significa per te

Per la maggior parte delle persone, il rischio pratico di essere individuati da spyware mercenario è basso. Tuttavia, i risultati sono un promemoria del fatto che non cliccare nulla non significa essere al sicuro, e che gli annunci web ordinari possono essere una superficie d'attacco. Se sei un giornalista, un attivista, un avvocato o qualcuno che gestisce informazioni sensibili, prendi questo più seriamente.

Vale anche la pena essere onesti riguardo alle VPN. Una VPN crittografa il tuo traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Non impedisce a un annuncio malevolo di caricarsi nel tuo browser, e non corregge una vulnerabilità sul tuo telefono. Una VPN da sola non protegge da questo tipo di attacco. Rimane utile per altri obiettivi di privacy, ma non è una difesa in questo caso.

Cosa possono fare i lettori

Nessun singolo passo elimina il rischio, ma misure stratificate lo riducono considerevolmente:

  • Aggiorna prontamente il tuo sistema operativo e il tuo browser. Spyware come questo dipende tipicamente da falle nel software, e gli aggiornamenti le chiudono.
  • Attiva la Modalità Isolamento se sei a rischio più elevato. La Modalità Isolamento di Apple è progettata per ridurre la superficie d'attacco per le persone che potrebbero essere prese di mira. Gli utenti Android possono cercare impostazioni di protezione avanzata comparabili.
  • Usa un blocco degli annunci. Se il canale di distribuzione è un annuncio, bloccare gli annunci a livello di browser o DNS rimuove gran parte dell'esposizione.
  • Riavvia regolarmente il tuo dispositivo. Alcune infezioni non sopravvivono a un riavvio, il che può costringere gli attaccanti a ricominciare da capo.
  • Riduci ciò che viene eseguito nel browser. Meno estensioni e un set minimo di app riducono il numero di punti che un attaccante può sfruttare.
  • Cerca aiuto esperto se sospetti un'infezione. Le organizzazioni che supportano gruppi a rischio possono assistere con controlli forensi.

Punti chiave

Il caso AdFection mostra che lo spyware pubblicitario zero-click che i giornalisti hanno affrontato nel 2024 è stato distribuito attraverso lo stesso sistema pubblicitario che serve tutti gli altri. L'attaccante è ancora non identificato, ma due aziende israeliane sono state collegate al fatto di averlo facilitato. Mantieni aggiornati i tuoi dispositivi, considera la Modalità Isolamento se affronti un rischio elevato e blocca gli annunci dove puoi. Per i dettagli completi, leggi il nostro riassunto del rapporto di Citizen Lab sugli annunci zero-click e i giornalisti, poi segui i risultati primari di Citizen Lab e Al Jazeera. E ricorda che una VPN, per quanto utile, non è uno scudo contro questo tipo di attacco.