Un nuovo rapporto di Citizen Lab, ripreso da The Globe and Mail, descrive quello che potrebbe essere uno degli usi più inquietanti dell'economia pubblicitaria fino ad oggi: spyware veicolato da annunci zero-click con cui i giornalisti non hanno mai dovuto interagire. Secondo il rapporto, aziende israeliane hanno organizzato un "attacco veicolato tramite pubblicità mirata" per infettare i dispositivi dei giornalisti con spyware. La stessa macchina costruita per mostrarti scarpe e servizi di streaming, in altre parole, può presumibilmente essere riutilizzata per raggiungere il telefono di una persona specifica.

Il riassunto che abbiamo è breve, quindi questo articolo si attiene a quanto è stato riportato e spiega i concetti più ampi che vi ruotano attorno. Dove i dettagli non sono disponibili, lo diciamo.

Cosa ha scoperto Citizen Lab negli attacchi veicolati tramite annunci

Citizen Lab, il gruppo di ricerca noto per indagare sulle minacce digitali contro la società civile, ha concluso che aziende israeliane hanno portato a termine un attacco veicolato tramite pubblicità mirata. I bersagli erano giornalisti, e il risultato è stato spyware sui loro dispositivi. Il rapporto caratterizza il metodo come zero-click, il che significa che la vittima non ha dovuto toccare, scaricare o approvare nulla.

La copertura a nostra disposizione non specifica ogni dettaglio tecnico, come quali dispositivi, quali reti pubblicitarie o quante persone siano state colpite, quindi non tenteremo di indovinarli. Il punto chiave è il canale di distribuzione: la pubblicità, non un'email malevola o un messaggio di testo sospetto.

Come lo spyware veicolato da annunci zero-click raggiunge i dispositivi dei giornalisti

Un attacco zero-click funziona senza che la vittima faccia nulla. Invece di persuadere qualcuno ad aprire un link dannoso, l'attaccante si affida al software che elabora i contenuti automaticamente. Quando una pagina o un'app carica un annuncio, il dispositivo recupera e renderizza quel contenuto da solo. Se un attaccante riesce a inserire contenuto malevolo in quel flusso e il dispositivo presenta una vulnerabilità non corretta, l'infezione può avvenire mentre il contenuto viene caricato.

Questa è una spiegazione generale di come possono funzionare gli attacchi veicolati tramite annunci, non una descrizione dell'exploit specifico nel rapporto di Citizen Lab. Ciò che conta per i lettori è il principio: tutto ciò che il tuo dispositivo carica automaticamente è potenzialmente un punto di ingresso, e questo include contenuti che non hai mai scelto di vedere.

Le tecniche zero-click non sono nuove nel mondo dello spyware. La nostra copertura di un worm zero-click di WeChat descriveva come una singola chiamata persa potesse bastare a compromettere un'app di messaggistica ampiamente utilizzata. La via basata sulla pubblicità aggiunge una variante diversa: l'attaccante non ha bisogno del tuo numero di telefono o di un account, solo di un modo per mettere contenuti davanti a te.

Perché la pubblicità mirata rende i giornalisti facili da raggiungere

La pubblicità mirata esiste per consentire a un acquirente di scegliere chi vede un messaggio. I pubblici possono essere ristretti per interessi, posizione, tipo di dispositivo e altri segnali. Questa precisione è una caratteristica per i marketer legittimi. Per un fornitore di sorveglianza, è un modo per indirizzare un attacco verso una persona specifica o un piccolo gruppo senza diffonderlo ampiamente, il che riduce anche le probabilità di rilevamento.

I giornalisti sono un bersaglio ovvio per questo tipo di mira. Il loro lavoro, i loro interessi e le loro posizioni sono spesso pubblici, e i loro dispositivi possono contenere fonti e materiale non pubblicato. La scoperta di Citizen Lab suggerisce che l'infrastruttura di tracciamento dietro gli annunci quotidiani può fungere anche da sistema di distribuzione per lo spyware.

Cosa significa questo per te

La maggior parte dei lettori non è il bersaglio previsto di un'operazione di spyware come questa. Gli attacchi mirati di questo tipo sono tipicamente costosi e rivolti a persone specifiche. Ma la scoperta riguarda comunque tutti, per due ragioni.

Primo, dimostra che il contenuto pubblicitario non è solo un fastidio o una questione di privacy. È parte della superficie di attacco del tuo dispositivo. Secondo, le difese che aiutano contro un attacco sofisticato ti proteggono anche contro minacce ordinarie: aggiornamenti tempestivi, meno caricamenti automatici di contenuti e un controllo più stretto su ciò che il tuo dispositivo accetta.

Se lavori nel giornalismo, nei diritti umani, in politica o in qualsiasi campo in cui potresti attirare un avversario ben finanziato, considera il tuo rischio più elevato e agisci di conseguenza.

Passi pratici per ridurre la tua esposizione

Nessun singolo passo ti rende immune agli attacchi zero-click, ma queste misure riducono le opportunità:

  • Aggiorna immediatamente il tuo sistema operativo e le tue app. Gli attacchi zero-click di solito dipendono da falle non corrette. La correzione d'emergenza di Google per un zero-day di Chrome sfruttato in the wild è un buon esempio del perché aspettare qualche giorno può fare la differenza.
  • Mantieni aggiornato il tuo browser. I browser elaborano costantemente contenuti pubblicitari, quindi abilita gli aggiornamenti automatici e riavvia quando richiesto.
  • Blocca annunci e tracker dove puoi. Un blocker di contenuti affidabile o le protezioni a livello di browser riducono la quantità di contenuti pubblicitari di terze parti che il tuo dispositivo carica. Questo riduce il rischio, non lo elimina.
  • Abilita la Modalità Lockdown se sei a rischio più elevato. Sui dispositivi Apple compatibili, la Modalità Lockdown limita le funzionalità che gli attaccanti sfruttano comunemente. Scambia un po' di comodità per una superficie di attacco più ridotta.
  • Limita la personalizzazione degli annunci. Disattiva gli identificatori di tracciamento pubblicitario nelle impostazioni del tuo dispositivo e rinuncia agli annunci personalizzati. Questo ti rende più difficile da individuare, anche se non fermerà ogni metodo di targeting.
  • Riavvia periodicamente e rimuovi le app che non usi. Meno app e riavvii regolari lasciano meno spazio a minacce persistenti.

Il punto finale

Il rapporto sullo spyware veicolato da annunci zero-click che i giornalisti hanno affrontato è un promemoria del fatto che la linea tra tecnologia pubblicitaria e tecnologia di sorveglianza può essere sottile. Non puoi controllare ciò che fanno le reti pubblicitarie, ma puoi controllare quanto rapidamente i tuoi dispositivi vengono corretti e quanto contenuto non attendibile caricano.

La lista di azioni di oggi è breve: installa subito gli aggiornamenti in sospeso sul tuo telefono e sul tuo browser, attiva gli aggiornamenti automatici e, se sei a rischio più elevato, abilita la Modalità Lockdown. Quei pochi minuti di impegno chiudono le lacune da cui dipendono attacchi come questo.