Um novo relatório do Citizen Lab, noticiado pelo The Globe and Mail, descreve o que pode ser um dos usos mais perturbadores da economia publicitária até agora: spyware de anúncios zero-click com o qual jornalistas nunca precisaram interagir. De acordo com o relatório, empresas israelenses realizaram um "ataque entregue via publicidade direcionada" para infectar os dispositivos de jornalistas com spyware. A mesma maquinaria construída para lhe mostrar sapatos e serviços de streaming, em outras palavras, pode, segundo relatos, ser reaproveitada para alcançar o telefone de uma pessoa específica.

O resumo que temos é curto, então este post se atém ao que foi noticiado e explica os conceitos mais amplos ao redor disso. Onde os detalhes não estão disponíveis, nós dizemos isso.

O que o Citizen Lab encontrou nos ataques entregues por anúncios

O Citizen Lab, o grupo de pesquisa conhecido por investigar ameaças digitais contra a sociedade civil, concluiu que empresas israelenses realizaram um ataque entregue por meio de publicidade direcionada. Os alvos eram jornalistas, e o resultado foi spyware em seus dispositivos. O relatório caracteriza o método como zero-click, o que significa que a vítima não precisou tocar, baixar ou aprovar nada.

A cobertura disponível para nós não detalha cada pormenor técnico, como quais dispositivos, quais redes de anúncios ou quantas pessoas foram afetadas, então não vamos adivinhar. O ponto principal é o canal de entrega: a publicidade, e não um e-mail malicioso ou uma mensagem de texto suspeita.

Como o spyware de anúncios zero-click chega aos dispositivos dos jornalistas

Um ataque zero-click funciona sem que a vítima faça nada. Em vez de persuadir alguém a abrir um link malicioso, o atacante conta com o software processando conteúdo automaticamente. Quando uma página ou aplicativo carrega um anúncio, o dispositivo busca e renderiza esse conteúdo por conta própria. Se um atacante conseguir colocar conteúdo malicioso nesse fluxo e o dispositivo tiver uma vulnerabilidade não corrigida, a infecção pode acontecer enquanto o conteúdo carrega.

Essa é uma explicação geral de como ataques veiculados por anúncios podem funcionar, não uma descrição do exploit específico no relatório do Citizen Lab. O que importa para os leitores é o princípio: qualquer coisa que seu dispositivo carregue automaticamente é potencialmente um ponto de entrada, e isso inclui conteúdo que você nunca escolheu ver.

Técnicas zero-click não são novidade no mundo do spyware. Nossa cobertura de um worm zero-click do WeChat descreveu como uma única chamada perdida poderia ser suficiente para comprometer um aplicativo de mensagens amplamente usado. A rota baseada em anúncios adiciona um detalhe diferente: o atacante não precisa do seu número de telefone ou de uma conta, apenas de uma forma de colocar conteúdo diante de você.

Por que a publicidade direcionada torna os jornalistas fáceis de alcançar

A publicidade direcionada existe para permitir que um comprador escolha quem vê uma mensagem. As audiências podem ser restringidas por interesses, localização, tipo de dispositivo e outros sinais. Essa precisão é uma característica para profissionais de marketing legítimos. Para um fornecedor de vigilância, é uma forma de mirar um ataque em uma pessoa específica ou em um pequeno grupo sem transmiti-lo amplamente, o que também reduz as chances de detecção.

Jornalistas são um alvo óbvio para esse tipo de mira. Seu trabalho, interesses e localizações são frequentemente públicos, e seus dispositivos podem conter fontes e material não publicado. A descoberta do Citizen Lab sugere que a infraestrutura de rastreamento por trás dos anúncios cotidianos pode servir também como um sistema de entrega de spyware.

O que isso significa para você

A maioria dos leitores não é o alvo pretendido de uma operação de spyware como essa. Ataques direcionados desse tipo costumam ser caros e voltados a pessoas específicas. Mas a descoberta ainda importa para todos, por duas razões.

Primeiro, mostra que o conteúdo publicitário não é apenas um incômodo ou uma questão de privacidade. É parte da superfície de ataque do seu dispositivo. Segundo, as defesas que ajudam contra um ataque sofisticado também protegem você contra ameaças comuns: atualizações rápidas, menos carregamentos automáticos de conteúdo e controle mais rigoroso sobre o que seu dispositivo aceita.

Se você trabalha em jornalismo, direitos humanos, política ou qualquer área onde possa atrair um adversário bem financiado, trate seu risco como mais elevado e aja de acordo.

Passos práticos para reduzir sua exposição

Nenhum passo isolado torna você imune a ataques zero-click, mas estas medidas reduzem a oportunidade:

  • Atualize seu sistema operacional e aplicativos imediatamente. Ataques zero-click geralmente dependem de falhas não corrigidas. A correção emergencial do Google para um zero-day do Chrome explorado na natureza é um bom exemplo de por que esperar alguns dias pode importar.
  • Mantenha seu navegador atualizado. Navegadores processam conteúdo publicitário constantemente, então ative atualizações automáticas e reinicie quando solicitado.
  • Bloqueie anúncios e rastreadores onde puder. Um bloqueador de conteúdo confiável ou proteções no nível do navegador reduzem quanto conteúdo publicitário de terceiros seu dispositivo carrega. Isso é um redutor de risco, não uma garantia.
  • Ative o Modo de Bloqueio se você estiver em maior risco. Em dispositivos Apple compatíveis, o Modo de Bloqueio restringe recursos que atacantes costumam abusar. Ele troca um pouco de conveniência por uma superfície de ataque menor.
  • Limite a personalização de anúncios. Desative identificadores de rastreamento de anúncios nas configurações do seu dispositivo e opte por não receber anúncios personalizados. Isso torna você mais difícil de isolar, embora não impeça todos os métodos de direcionamento.
  • Reinicie periodicamente e remova aplicativos que você não usa. Menos aplicativos e reinicializações regulares deixam menos espaço para ameaças persistentes.

A conclusão

O relatório sobre o spyware de anúncios zero-click que jornalistas enfrentaram é um lembrete de que a linha entre tecnologia publicitária e tecnologia de vigilância pode ser tênue. Você não pode controlar o que as redes de anúncios fazem, mas pode controlar a rapidez com que seus dispositivos são corrigidos e quanto conteúdo não confiável eles carregam.

A lista de ações de hoje é curta: instale as atualizações pendentes no seu telefone e navegador agora mesmo, ative as atualizações automáticas e, se você estiver em maior risco, ative o Modo de Bloqueio. Esses poucos minutos de esforço fecham as brechas das quais ataques como esse dependem.