Um anúncio comum, comprado num leilão em tempo real, foi o caminho para instalar spyware em celulares e computadores sem que a pessoa clicasse em nada. Em 15 de outubro de 2026, o Citizen Lab, laboratório de pesquisa da Universidade de Toronto, publicou o que descreve como a primeira confirmação técnica pública desse tipo de ataque, que batizou de AdFection.
O relatório do Citizen Lab saiu junto com uma investigação da empresa de segurança em publicidade Confiant. Ele interessa a quem compra mídia programática, porque o ataque usou a mesma cadeia de leilão, DSPs, SSPs e listas de consentimento das campanhas do dia a dia.
O que o relatório mostra
Segundo o Citizen Lab:
- Quem comprava os anúncios: a Discover-Tech, empresa israelense que se apresentava como empresa de publicidade e que, para o Citizen Lab, funcionava como ponte entre fornecedores de spyware e o mercado de anúncios.
- Como o ataque funcionava: o anúncio vencia o leilão e, ao aparecer, chamava um servidor da empresa. Só para o alvo escolhido, identificado pelo ID de publicidade do celular, pelo cookie ou pelo IP, voltava o código de ataque. Para os demais, a resposta vinha vazia, o que ajudou o esquema a passar pelas verificações das plataformas.
- Caso confirmado: pelo menos 45 dispositivos da rede de notícias Al Jazeera foram alvo em 2024 e 2025, em ataques que o Citizen Lab liga, com alta confiança, ao spyware da Candiru, hoje Integrity Labs.
- Escala: entre março e junho de 2026, anúncios com o código de ataque foram exibidos em 75.373 apps e 120.768 sites, em dezenas de países.
- Brasil: quarto país em lances desses anúncios, com 76,1 milhões, atrás de Iêmen, Paquistão e Montenegro. Houve impressões em redes de governo no país, mas o relatório não cita vítimas brasileiras.
- Selos do setor: de 2020 a outubro de 2026, a empresa esteve nas listas de fornecedores certificados do Google e na lista global da IAB Europe usada nos banners de consentimento. Segundo o relatório, essas listas dependem em grande parte da autodeclaração das empresas.
O próprio relatório faz a ressalva: anúncio exibido não significa dispositivo infectado.
Por que isso importa para quem compra mídia
O caso mostra que o leilão em tempo real também serve de porta de entrada para ataque, não só para fraude de impressão. O pedido de lance carrega identificadores do dispositivo, IP e localização, e o anúncio pode executar código no app ou no navegador. Quem tem acesso a esse fluxo consegue rastrear pessoas, prática conhecida como ADINT, e, como mostra o caso, mirar um único aparelho. Para a mídia programática, escolher parceiro passa a ser também uma decisão de segurança.
O que conferir na sua operação
- Lista de fornecedores do banner: mantenha na plataforma de consentimento só as empresas que você usa. A lista global da IAB Europe, base de muitos banners, tem cerca de mil fornecedores, segundo o relatório.
- Cadeia de compra: peça às agências e DSPs a lista de parceiros e confira os arquivos ads.txt e sellers.json.
- Código de terceiros: mapeie que tags, pixels e SDKs de anúncio rodam no seu site e nos seus apps, e quem responde por cada um.
- Dados no leilão: avalie com o jurídico quais dados pessoais seus parceiros enviam nos pedidos de lance, à luz da governança de dados e da LGPD.
- Aparelhos da empresa: o relatório recomenda bloquear anúncios na rede corporativa e desativar o ID de publicidade em aparelhos de trabalho.
E agora?
Google e IAB Europe tiraram a Discover-Tech dos seus cadastros no começo de outubro de 2026, e Beeswax, Vungle (Liftoff) e Eskimi bloquearam ou suspenderam a empresa. Discover-Tech, Candiru, Xandr (Microsoft Advertising) e Sunteng não responderam ao Citizen Lab no prazo. O laboratório pede que reguladores investiguem as empresas e prepara um segundo relatório, sobre um grupo que usa a mesma infraestrutura para ligar IDs de publicidade a números de telefone. Para quem compra mídia, vale checar quem está na cadeia antes de confiar no selo de “certificado”.
