Citizen Lab, l'unità di ricerca sui diritti digitali dell'Università di Toronto, afferma di aver trovato prove che decine di dispositivi presso l'organizzazione mediatica Al Jazeera sono stati violati dopo che sono stati mostrati loro annunci pubblicitari online malevoli. La scoperta, riportata da TechCrunch il 15 ottobre 2026, indica uno sviluppo preoccupante: gli spyware zero-click e gli annunci pubblicitari malevoli possono ora servire come via di somministrazione verso il telefono o il computer di un obiettivo, senza che la persona tocchi nulla.

Il riassunto pubblico è breve, quindi questo articolo si attiene a quanto è stato riportato e spiega i meccanismi generali e le difese che i ricercatori di sicurezza comunemente descrivono.

Cosa ha trovato Citizen Lab ad Al Jazeera

Secondo il rapporto, Citizen Lab ha trovato prove che decine di dispositivi presso Al Jazeera sono stati compromessi dopo che alle persone che li utilizzavano sono stati mostrati annunci pubblicitari online malevoli. L'affermazione principale è che i governi stanno abusando della pubblicità online per distribuire spyware zero-click, cioè spyware che infetta un dispositivo senza che la vittima apra un file o clicchi un link.

Il riassunto della fonte non nomina il fornitore dello spyware, le specifiche reti pubblicitarie coinvolte o le esatte vulnerabilità utilizzate, e non faremo supposizioni al riguardo. Ciò che invece stabilisce è l'obiettivo: una grande organizzazione mediatica, dove il personale gestisce abitualmente fonti e informazioni sensibili. Anche la parola "presumibilmente" è importante qui. Queste sono scoperte di un gruppo di ricerca, e i dettagli potrebbero emergere man mano che viene pubblicato altro.

Come un annuncio malevolo può violare un telefono senza un clic

Un attacco tradizionale richiede che tu faccia qualcosa: aprire un allegato, toccare un link, installare un'app. Un attacco zero-click elimina quel passaggio. Si basa su una falla nel software che elabora automaticamente i contenuti, come un browser o un'app che visualizza un'immagine, un video o una pagina web. Se il contenuto è creato per sfruttare quella falla, il codice malevolo può essere eseguito durante il normale funzionamento.

Gli annunci pubblicitari online si adattano a questo modello in modo scomodamente preciso. Gli annunci vengono caricati automaticamente quando si apre una pagina o un'app, spesso da server di terze parti che l'editore non controlla direttamente. Un attaccante in grado di collocare un annuncio malevolo davanti a una persona scelta potrebbe, in linea di principio, attivare una vulnerabilità nel software che lo visualizza. Gli strumenti di targeting pubblicitario, che esistono per selezionare pubblici specifici, potrebbero aiutare a restringere la distribuzione alla vittima prevista.

Il punto chiave è che la persona non ha fatto nulla di sbagliato. Essere stato esposto all'annuncio è stato sufficiente, secondo le scoperte riportate di Citizen Lab.

Perché i giornalisti e gli utenti comuni sono entrambi esposti

I giornalisti sono un obiettivo ovvio. Le redazioni custodiscono contatti riservati, materiale non pubblicato e dati di localizzazione che i governi potrebbero volere. Un attacco che funziona attraverso gli annunci elimina la necessità di un messaggio di phishing convincente, che il personale è spesso addestrato a riconoscere.

Ma il canale di distribuzione non è limitato alle redazioni. Gli annunci raggiungono quasi tutti coloro che navigano sul web o usano app gratuite. Gli spyware altamente mirati sono tipicamente costosi e diretti a individui specifici, quindi è improbabile che la maggior parte delle persone sia la vittima prevista. Tuttavia, la stessa infrastruttura pubblicitaria serve tutti, e le debolezze nel modo in cui i dispositivi gestiscono i contenuti web riguardano tutti gli utenti finché non vengono corrette. Attivisti, avvocati, ricercatori e altri che potrebbero attirare l'interesse dei governi dovrebbero considerarsi parte del gruppo a rischio, non solo i reporter.

Cosa riduce davvero il rischio (e cosa una VPN non può fare)

Vale la pena essere diretti: una VPN da sola non protegge da questo tipo di attacco. Una VPN crittografa il tuo traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Non impedisce a un dispositivo di visualizzare un annuncio malevolo e non corregge una vulnerabilità del software. Se un exploit viene distribuito all'interno dei contenuti che il tuo dispositivo carica, il tunnel si limita a trasportarlo.

Le misure che affrontano il percorso effettivo dell'attacco includono:

  • Aggiorna prontamente il tuo sistema operativo e il browser. Gli attacchi zero-click dipendono da falle non corrette o sconosciute. Installare rapidamente gli aggiornamenti di sicurezza chiude le falle note.
  • Usa il blocco dei contenuti o degli annunci. Se l'annuncio non viene mai caricato, non può distribuire l'exploit. I bloccanti a livello di browser o di rete riducono l'esposizione ai server pubblicitari di terze parti.
  • Attiva la Modalità Blocco quando disponibile. La Modalità Blocco di Apple è progettata per persone ad alto rischio e riduce la superficie di attacco limitando determinate funzionalità web e di messaggistica.
  • Riavvia regolarmente i dispositivi e riduci le app installate. Meno app significa meno componenti che servono annunci e meno posti dove nascondere falle.

Cosa significa per te

Per la maggior parte dei lettori, il rischio realistico di essere personalmente presi di mira con spyware di livello governativo è basso, ma la lezione si applica in modo ampio: gli strumenti per la privacy funzionano su problemi specifici, e nessun singolo strumento copre tutto. Una VPN aiuta con la privacy di rete. Non è una difesa contro gli exploit. Se lavori con fonti sensibili o hai motivo di pensare di poter essere un obiettivo, considera essenziali il rafforzamento del dispositivo e il blocco degli annunci, e valuta le modalità più restrittive offerte dal tuo telefono.

Il lavoro di Citizen Lab alimenta anche un più ampio dibattito politico. Se vuoi saperne di più sulla ricerca del gruppo e sull'argomento della sorveglianza e della crittografia, leggi la nostra copertura su come Citizen Lab segnala rischi di crittografia nel disegno di legge C-22 del Canada.

Punti chiave

Le scoperte su Al Jazeera mostrano che gli spyware zero-click e gli annunci pubblicitari malevoli sono un metodo di distribuzione reale, non solo teorico. Non puoi controllare quali annunci vengono mostrati, ma puoi controllare quanto è esposto il tuo dispositivo. Installa gli aggiornamenti del sistema operativo e del browser non appena arrivano, usa un bloccante di annunci o contenuti e attiva la Modalità Blocco se sei a rischio più elevato. Continua a usare una VPN se soddisfa le tue esigenze, ma non fare affidamento su di essa per fermare un attacco che arriva attraverso i contenuti che il tuo dispositivo carica. Per il contesto più ampio sul lavoro di Citizen Lab e sul dibattito sulla sorveglianza, vedi il nostro articolo su Bill C-22 e rischi di crittografia.