O Citizen Lab, a unidade de pesquisa em direitos digitais da Universidade de Toronto, afirma ter encontrado evidências de que dezenas de dispositivos na organização de mídia Al Jazeera foram hackeados após serem exibidos anúncios online maliciosos. A descoberta, reportada pelo TechCrunch em 15 de outubro de 2026, aponta para um desenvolvimento preocupante: spyware de zero clique — anúncios maliciosos agora podem servir como rota de entrega para o telefone ou computador de um alvo, sem que a pessoa toque em nada.

O resumo público é breve, então este post se atém ao que foi reportado e explica a mecânica geral e as defesas que pesquisadores de segurança costumam descrever.

O que o Citizen Lab encontrou na Al Jazeera

De acordo com o relatório, o Citizen Lab encontrou evidências de que dezenas de dispositivos na Al Jazeera foram comprometidos após as pessoas que os utilizavam serem expostas a anúncios online maliciosos. A alegação principal é que governos estão abusando da publicidade online para entregar spyware de zero clique, ou seja, spyware que infecta um dispositivo sem que a vítima abra um arquivo ou clique em um link.

O resumo da fonte não nomeia o fornecedor do spyware, as redes de anúncios específicas envolvidas ou as vulnerabilidades exatas utilizadas, e não vamos especular sobre elas. O que ele estabelece é o alvo: uma grande organização de mídia, onde a equipe lida rotineiramente com fontes e informações sensíveis. A palavra "supostamente" também importa aqui. Trata-se de descobertas de um grupo de pesquisa, e detalhes podem surgir à medida que mais for publicado.

Como um anúncio malicioso pode hackear um telefone sem um clique

Um ataque tradicional exige que você faça algo: abrir um anexo, tocar em um link, instalar um aplicativo. Um ataque de zero clique remove essa etapa. Ele depende de uma falha no software que processa conteúdo automaticamente, como um navegador ou aplicativo que renderiza uma imagem, vídeo ou página web. Se o conteúdo for elaborado para explorar essa falha, código malicioso pode ser executado durante a operação normal.

Anúncios online se encaixam desconfortavelmente bem nesse modelo. Os anúncios são carregados automaticamente quando uma página ou aplicativo é aberto, frequentemente de servidores de terceiros que o publicador não controla diretamente. Um atacante capaz de colocar um anúncio malicioso diante de uma pessoa escolhida poderia, em princípio, acionar uma vulnerabilidade no software que o exibe. Ferramentas de segmentação de anúncios, que existem para selecionar públicos específicos, poderiam ajudar a restringir a entrega à vítima pretendida.

O ponto principal é que a pessoa não fez nada de errado. Ter sido exposta ao anúncio foi suficiente, de acordo com as descobertas reportadas pelo Citizen Lab.

Por que jornalistas e usuários comuns estão ambos expostos

Jornalistas são um alvo óbvio. Redações guardam contatos confidenciais, material não publicado e dados de localização que governos podem querer. Um ataque que funciona por meio de anúncios elimina a necessidade de uma mensagem de phishing convincente, que a equipe costuma ser treinada para identificar.

Mas o canal de entrega não se limita a redações. Anúncios alcançam quase todos que navegam na web ou usam aplicativos gratuitos. Spyware altamente direcionado é tipicamente caro e voltado a indivíduos específicos, então a maioria das pessoas provavelmente não é a vítima pretendida. Ainda assim, a mesma infraestrutura de anúncios serve a todos, e fraquezas na forma como os dispositivos lidam com conteúdo web afetam todos os usuários até que sejam corrigidas. Ativistas, advogados, pesquisadores e outros que possam atrair interesse governamental devem se considerar parte do grupo de risco, não apenas repórteres.

O que realmente reduz o risco (e o que uma VPN não pode fazer)

Vale ser direto: uma VPN sozinha não protege contra esse tipo de ataque. Uma VPN criptografa seu tráfego entre seu dispositivo e o servidor VPN e oculta seu endereço IP dos sites que você visita. Ela não impede que um dispositivo renderize um anúncio malicioso e não corrige uma vulnerabilidade de software. Se um exploit for entregue dentro do conteúdo que seu dispositivo carrega, o túnel simplesmente o transporta.

Medidas que abordam o caminho real do ataque incluem:

  • Atualize seu sistema operacional e navegador prontamente. Ataques de zero clique dependem de falhas não corrigidas ou desconhecidas. Instalar atualizações de segurança rapidamente fecha brechas conhecidas.
  • Use bloqueio de conteúdo ou de anúncios. Se o anúncio nunca carregar, ele não pode entregar o exploit. Bloqueadores no nível do navegador ou da rede reduzem a exposição a servidores de anúncios de terceiros.
  • Ative o Modo de Bloqueio onde estiver disponível. O Modo de Bloqueio da Apple é projetado para pessoas em risco elevado e reduz a superfície de ataque ao limitar certos recursos web e de mensagens.
  • Reinicie os dispositivos regularmente e reduza os aplicativos instalados. Menos aplicativos significa menos componentes que veiculam anúncios e menos lugares para falhas se esconderem.

O que isso significa para você

Para a maioria dos leitores, o risco realista de ser pessoalmente alvo de spyware de nível governamental é baixo, mas a lição se aplica amplamente: ferramentas de privacidade funcionam para problemas específicos, e nenhuma ferramenta cobre tudo. Uma VPN ajuda com privacidade de rede. Ela não é uma defesa contra exploits. Se você trabalha com fontes sensíveis ou tem motivos para pensar que pode ser um alvo, trate o fortalecimento do dispositivo e o bloqueio de anúncios como essenciais, e considere os modos mais rigorosos que seu telefone oferece.

O trabalho do Citizen Lab também alimenta um debate político mais amplo. Se você quer mais sobre a pesquisa do grupo e o argumento sobre vigilância e criptografia, leia nossa cobertura de como o Citizen Lab sinaliza riscos de criptografia no Projeto de Lei C-22 do Canadá.

Principais conclusões

As descobertas da Al Jazeera mostram que spyware de zero clique — anúncios maliciosos — é um método real de entrega, não apenas teórico. Você não pode controlar quais anúncios são veiculados, mas pode controlar o quão exposto seu dispositivo está. Instale atualizações do sistema operacional e do navegador assim que chegarem, use um bloqueador de anúncios ou conteúdo e ative o Modo de Bloqueio se estiver em risco mais elevado. Continue usando uma VPN se ela atender às suas necessidades, mas não confie nela para impedir um ataque que chega por meio do conteúdo que seu dispositivo carrega. Para o contexto mais amplo sobre o trabalho do Citizen Lab e o debate sobre vigilância, veja nosso artigo sobre o Projeto de Lei C-22 e riscos de criptografia.