Il CERT nazionale ha emesso un avviso secondo cui uno spyware può infettare i telefoni attraverso annunci pubblicitari online senza che l'utente clicchi nulla. La tecnica si chiama AdFection, e il modello di spyware pubblicitario zero-click AdFection è importante perché elimina l'unica difesa su cui la maggior parte delle persone fa affidamento: non toccare nulla di sospetto. Questo post spiega ciò che è noto, come funziona questa classe di attacchi e dove si colloca una VPN.

Cosa sta segnalando il CERT nazionale

Secondo il rapporto sull'avviso, il CERT nazionale afferma che un telefono può essere compromesso semplicemente caricando un annuncio. Nessun tocco, nessuna richiesta di download, nessuna pagina di login falsa. La tecnica porta il nome di AdFection.

L'avviso segue una ricerca riportata a metà ottobre 2026. La copertura mediatica attribuisce i risultati a Citizen Lab, i cui ricercatori hanno descritto AdFection come una tecnica di spionaggio informatico. Tali riassunti affermano che la ricerca ha collegato un'azienda pubblicitaria chiamata Discover-Tech a fornitori di spyware mercenario, citando Candiru e Bindecy, e che i dispositivi di Al Jazeera erano tra quelli presi di mira. Non abbiamo verificato in modo indipendente tali dettagli, quindi trattateli come i risultati riportati di quella ricerca piuttosto che come fatti accertati.

Il punto chiave per i lettori comuni è il metodo di distribuzione. L'attacco arriva attraverso la stessa pipeline pubblicitaria che serve banner e annunci video nelle app e nei siti web.

Come funziona un attacco pubblicitario zero-click

L'articolo originale è breve sulla meccanica, ma i riassunti della ricerca offrono uno schema utile. Descrivono gli attaccanti che sfruttano l'ecosistema del real-time bidding, l'asta automatizzata che decide quale annuncio appare sullo schermo nella frazione di secondo prima che una pagina o un'app si carichi.

In termini semplificati, la sequenza riportata è questa:

  • Targeting: un operatore sceglie una persona o un dispositivo specifico che vuole raggiungere.
  • Fingerprinting: il sistema pubblicitario viene utilizzato per riconoscere quel dispositivo, in base al tipo di informazioni che gli annunci normalmente raccolgono.
  • Consegna: quando il dispositivo preso di mira carica un annuncio, viene servito un payload malevolo al posto, o insieme, al contenuto normale.
  • Infezione: se il dispositivo presenta una falla sfruttabile, lo spyware può installarsi senza alcuna interazione.

Ecco perché l'attacco è descritto come zero-click. La vittima non fa nulla di insolito. Sta semplicemente navigando o usando un'app che mostra annunci. I riassunti della ricerca sottolineano che questo approccio è mirato a individui specifici, il che si adatta al modello dello spyware commerciale piuttosto che al malware di massa. Tuttavia, un avviso pubblico da parte di un CERT nazionale segnala che la tecnica merita di essere presa sul serio ben oltre i giornalisti e gli attivisti.

Dove una VPN aiuta e dove no

Questa storia è un buon promemoria di cosa fa effettivamente una VPN. Una VPN crittografa il traffico tra il dispositivo e il server VPN, e nasconde il tuo indirizzo IP dai siti che visiti. Questo è davvero utile su Wi-Fi pubblici e per limitare alcuni tipi di tracciamento.

Ciò che una VPN non fa è ispezionare o bloccare il contenuto che arriva attraverso quel tunnel crittografato. Se un payload pubblicitario malevolo viene consegnato al tuo telefono, la VPN lo trasporta come qualsiasi altro dato. Non rimuove la vulnerabilità presa di mira dal payload, e non impedisce a una rete pubblicitaria di servire l'annuncio. Nascondere il tuo IP fa anche poco contro il fingerprinting del dispositivo descritto dai riassunti della ricerca, poiché questo si basa su altri segnali.

C'è una piccola eccezione che vale la pena menzionare con attenzione: alcune app VPN includono funzionalità opzionali di blocco degli annunci o dei tracker. Si tratta di una funzione separata dal tunnel crittografato stesso, e la sua efficacia varia. Se ci fai affidamento, verifica che sia attivata e mantienila nella giusta prospettiva.

La lezione più ampia riguarda la fiducia a diversi livelli. La crittografia protegge i dati in transito, ma non dice nulla sulla sicurezza del contenuto consegnato. Abbiamo esaminato una questione di fiducia correlata nel nostro articolo su la revoca dei certificati TLS e le conseguenze GlobalSign, che mostra quanti meccanismi separati si frappongono tra te e un sito web.

Cosa dovrebbero fare ora gli utenti di iPhone, iPad e Windows

Il riassunto del CERT nazionale che abbiamo non elenca vulnerabilità specifiche o versioni software interessate, quindi non tireremo a indovinare. I seguenti passaggi sono generali, a basso costo e sensati alla luce di questo tipo di minaccia.

iPhone e iPad

  • Installa l'ultimo aggiornamento iOS o iPadOS. Gli attacchi zero-click dipendono da falle non corrette, quindi gli aggiornamenti sono la protezione più diretta.
  • Considera l'attivazione della Modalità di isolamento se sei ad alto rischio, come un giornalista, un attivista o qualcuno che gestisce lavoro sensibile. Riduce le funzionalità in cambio di una superficie di attacco più ridotta.
  • Limita la personalizzazione degli annunci nelle impostazioni della privacy per ridurre i dati utilizzabili dagli annunci.

Windows

  • Esegui Windows Update e aggiorna il tuo browser, poiché i browser sono il luogo in cui si caricano gli annunci.
  • Utilizza un blocco dei contenuti affidabile o un'impostazione del browser che blocchi annunci e tracker.
  • Mantieni abilitati gli strumenti di sicurezza integrati.

Android e altri dispositivi

  • Si applica la stessa logica: installa tempestivamente gli aggiornamenti di sistema e del browser e utilizza il blocco degli annunci o dei contenuti.

Cosa significa questo per te

La maggior parte delle persone è improbabile che sia il bersaglio previsto di spyware mercenario. Ma il canale di distribuzione, la pubblicità online, è condiviso da tutti, e le difese sono abbastanza semplici da adottare indipendentemente dal tuo livello di rischio. Il messaggio pratico è che le protezioni più forti qui sono quelle noiose: software aggiornato e meno annunci che raggiungono il tuo dispositivo.

Una VPN rimane uno strumento utile per la privacy per ciò che è progettata a fare. Semplicemente non dovrebbe essere considerata una protezione contro annunci malevoli.

Conclusioni operative

  • Aggiorna oggi il tuo telefono, tablet, computer e browser, e abilita gli aggiornamenti automatici.
  • Attiva il blocco degli annunci o dei contenuti nel tuo browser o nelle impostazioni di sistema.
  • Riduci la personalizzazione degli annunci per limitare i dati di fingerprinting.
  • Se sei a rischio più elevato, considera la Modalità di isolamento sui dispositivi Apple.
  • Considera una VPN come uno strato di privacy, non come una difesa contro lo spyware pubblicitario zero-click AdFection o attacchi simili.

L'avviso del CERT nazionale è uno stimolo a controllare le basi. Dieci minuti spesi in aggiornamenti e blocco degli annunci fanno di più contro questa minaccia di qualsiasi quantità di crittografia del traffico.