Uma campanha de espionagem mostrou que um anúncio pode ser mais do que uma peça de publicidade. Segundo a Ars Technica, hackers mercenários usaram anúncios direcionados para entregar exploits de clique zero, capazes de instalar malware em celulares sem que a vítima tocasse na tela. O caso é importante para qualquer pessoa que usa iPhone ou Android, mas também expõe um problema estrutural para sites, aplicativos e redes de publicidade.
O que é um ataque de clique zero
Em ataques comuns, a vítima precisa abrir um arquivo, clicar em um link ou instalar um aplicativo. O termo clique zero descreve uma exploração que não depende dessa interação. Basta que o conteúdo malicioso seja processado por um navegador, aplicativo ou componente do sistema. O dispositivo pode estar atualizado e o usuário pode desconfiar de links suspeitos, mas ainda assim ser atingido caso exista uma falha explorável no caminho.
Isso não significa que qualquer anúncio infectará um celular. A campanha descrita pela Ars Technica foi direcionada e envolveu infraestrutura especializada. O risco, porém, é relevante porque anúncios são distribuídos em escala e podem alcançar pessoas em sites e aplicativos que não têm relação aparente com espionagem.
Como a publicidade virou vetor de infecção
A publicidade digital é formada por muitas camadas. Um anunciante compra espaço, uma plataforma organiza o leilão, uma rede entrega o criativo e um site ou aplicativo mostra o anúncio. A reportagem descreve a atuação da empresa Discover-Tech como uma ponte entre compradores e vendedores de mídia. Nesse fluxo, o anúncio pode carregar JavaScript ou redirecionar o dispositivo para servidores controlados por fornecedores de spyware.
O ponto delicado é que o sistema foi criado para otimizar segmentação e receita, não para verificar se cada participante é confiável em todos os níveis. A campanha usou identificadores de publicidade, localização, endereço IP e outros sinais para selecionar alvos. A Ars Technica relata que a infraestrutura processou bilhões de registros de lances e apareceu em dezenas de milhares de aplicativos e sites.
O que foi encontrado no caso AdFection
A investigação mencionada pela reportagem identificou a campanha chamada AdFection e confirmou infecções em 45 dispositivos de uma organização internacional de mídia. Os ataques afetaram aparelhos com iOS e Android em 2024 e 2025. A combinação de anúncios direcionados e malware mercenário é especialmente preocupante para jornalistas, ativistas, executivos e pessoas envolvidas em temas sensíveis.
O spyware teria sido desenvolvido e distribuído pela Candiru, empresa que passou a usar a marca Integrity Labs. O anúncio funcionava como uma etapa inicial: depois de identificar um alvo compatível, servidores remotos entregavam uma exploração sem exigir que a pessoa abrisse uma página específica. A matéria não detalha as vulnerabilidades usadas nem o malware final, e indica que elas podem ter sido corrigidas depois da descoberta.
Por que isso afeta usuários comuns
A maioria das pessoas não é um alvo de espionagem mercenária. Ainda assim, o caso muda a forma de pensar sobre anúncios e segurança. Um bloqueador de publicidade não serve somente para acelerar páginas ou remover distrações. Ele pode reduzir a quantidade de código de terceiros executada no navegador. Isso não é uma proteção perfeita, mas diminui uma superfície de ataque.
Também é importante instalar atualizações assim que possível. Ataques de clique zero costumam explorar falhas difíceis de detectar, e o usuário não tem como identificar a infecção observando apenas o anúncio. Atualizações de sistema e de aplicativos fecham vulnerabilidades conhecidas e limitam o tempo em que uma falha pode ser explorada.
Medidas práticas para reduzir a exposição
- Mantenha iOS, Android, navegadores e aplicativos atualizados, com atualizações automáticas ativadas quando isso for viável.
- Use bloqueio de anúncios em navegadores compatíveis e considere um filtro de DNS em redes domésticas ou corporativas.
- Revise o identificador de publicidade e desative a personalização de anúncios quando o sistema permitir.
- Evite instalar aplicativos fora de lojas oficiais, mesmo quando a instalação parece necessária para abrir um conteúdo.
- Em uma organização, monitore domínios de publicidade e adote políticas para separar dispositivos usados em atividades sensíveis.
Essas ações não prometem segurança absoluta. Um bloqueador pode não funcionar dentro de um aplicativo, e uma conta comprometida pode permitir outros tipos de ataque. O objetivo é reduzir oportunidades e aumentar a chance de que uma campanha seja detectada antes de atingir o dispositivo.
O problema da confiança na cadeia de anúncios
A reportagem também mostra que empresas reconhecidas podem ter permitido a presença do fornecedor em seus ecossistemas. Depois da investigação, plataformas e intermediários removeram ou suspenderam a empresa. A reação é positiva, mas acontece depois que os dispositivos já foram atingidos. A prevenção exige verificações contínuas, auditoria de criativos, análise de redirecionamentos e mecanismos para interromper rapidamente um fornecedor suspeito.
Para desenvolvedores de sites e aplicativos, isso significa tratar o código de anúncios como uma dependência de terceiros. A equipe precisa saber quais scripts são carregados, quais domínios recebem dados e como suspender uma rede em caso de incidente. Para empresas brasileiras que dependem de publicidade, receita não deveria ser o único critério para aceitar um parceiro.
Segurança precisa incluir o que parece banal
O caso AdFection é um lembrete de que ataques sofisticados podem chegar por elementos cotidianos. O usuário não precisa abandonar a web nem presumir que todo anúncio é malicioso. Deve, porém, entender que a segurança de um celular depende de uma cadeia que inclui sistema operacional, aplicativos, redes de anúncio, servidores e fornecedores.
A conclusão prática é direta: atualização rápida, menos rastreamento e menos código de terceiros são escolhas de segurança, não apenas preferências de navegação. Quanto mais visível se torna essa cadeia, mais fácil fica cobrar responsabilidade de plataformas e reduzir o espaço para spyware escondido em publicidade.
Fonte original: Ars Technica, Targeted ads delivered 0-click exploits to install mercenary malware.
