Dá para ter o celular ou o computador invadido só por ver um anúncio? Segundo uma investigação do Citizen Lab, laboratório da Universidade de Toronto, sim. Os pesquisadores revelaram nesta semana o AdFection, uma técnica que usava propaganda comum, daquelas de fone de ouvido e celular, para entregar spyware sem que a vítima precisasse clicar em nada.
A boa notícia: o ataque era direcionado a alvos específicos, não a qualquer pessoa. Mesmo assim, vale entender como funcionava e o que fazer para se proteger.
Como o anúncio infectava o aparelho
De acordo com o relatório do Citizen Lab, publicado em 15 de outubro, tudo passava pela Discover-Tech, uma empresa israelense que se apresentava como agência de anúncios legítima. Ela comprava espaço publicitário em grandes redes, inclusive a do Google, e exibia propagandas que pareciam totalmente normais.
O pulo do gato estava nos servidores da empresa. Quando o anúncio carregava, ele “conversava” com esses servidores e enviava dados como o identificador de publicidade do aparelho e o endereço IP. Se o visitante fosse um dos alvos escolhidos, o servidor devolvia um código malicioso; se não fosse, o anúncio seguia como uma propaganda qualquer. Por isso o ataque é chamado de “zero clique”: a pessoa só precisava ver o anúncio.
Quem estava por trás e quem foi alvo
Segundo os pesquisadores, o spyware entregue era da Candiru, empresa israelense de vigilância que hoje usa o nome Integrity Labs. Os anúncios com o script dos atacantes apareceram em mais de 120 mil sites e cerca de 75 mil apps.
O único caso de infecção confirmado no relatório envolve a rede Al Jazeera: pelo menos 45 aparelhos foram alvo em ataques de 2024 e 2025. Os anúncios também chegaram a redes ligadas a governos, à ONU, à Otan e a instituições da União Europeia, mas, nesses casos, o relatório fala em exibição de anúncios, não em infecção confirmada.
Depois do alerta, o Google cortou o acesso da Discover-Tech às suas plataformas de anúncios, e o Google e a IAB Europe tiraram a empresa das listas de parceiros autorizados. Outras plataformas de compra de mídia também bloquearam as contas.
Isso pode acontecer com o meu celular?
Ataques assim são caros e costumam mirar jornalistas, ativistas e autoridades, não o usuário comum. Mas o caso mostra que anúncio também pode ser porta de entrada, e alguns cuidados simples ajudam qualquer pessoa:
- Mantenha tudo atualizado: sistema, navegador e apps. Esse tipo de ataque explora falhas que as atualizações corrigem.
- Reduza o rastreamento: no iPhone, desative em Ajustes > Privacidade e Segurança > Rastreamento a opção que permite aos apps pedir para rastrear você. No Android, apague ou redefina o ID de publicidade nas configurações do Google.
- Use DNS com bloqueio: serviços de DNS que filtram anúncios e domínios maliciosos impedem que muitos desses scripts carreguem. No Android, dá para configurar em “DNS privado”.
- Desconfie de apps pouco conhecidos cheios de propaganda, principalmente os baixados fora das lojas oficiais.
Você já tinha imaginado que um simples anúncio poderia ser usado para espionar alguém? Conta nos comentários!
