Una campagna di sorveglianza informatica denominata AdFection avrebbe sfruttato gli annunci pubblicitari online per identificare, monitorare e potenzialmente infettare milioni di smartphone senza richiedere alcuna interazione da parte degli utenti. Le indagini condotte da Citizen Lab e Confiant collegano l’operazione alla società israeliana Discover-Tech e documentano la diffusione degli annunci su oltre 120.000 siti web e 75.000 applicazioni. Tra le reti raggiunte figurerebbero anche quelle di alcune importanti istituzioni italiane.
Cos’è AdFection e come funziona l’attacco zero-click
AdFection rappresenta un’evoluzione delle tecniche di sorveglianza basate sulla pubblicità digitale, già emerse con il sistema Patternz. La sua caratteristica principale è la possibilità di individuare specifici dispositivi e predisporre attacchi informatici senza che le potenziali vittime debbano cliccare su un collegamento o scaricare un file.
Secondo i ricercatori, l’infrastruttura sarebbe operativa da almeno due anni e avrebbe consentito di selezionare obiettivi destinati a operazioni di spionaggio mediante software come Candiru, uno spyware progettato per compromettere dispositivi elettronici.
Il ruolo delle aste pubblicitarie e della profilazione
Il meccanismo sfrutta il funzionamento delle piattaforme pubblicitarie automatizzate. Quando una persona visita un sito o apre un’applicazione, gli spazi disponibili vengono assegnati attraverso aste digitali.
Discover-Tech avrebbe partecipato a queste aste per distribuire annunci contenenti script capaci di comunicare con server esterni.
Attraverso indirizzi IP, cookie e identificatori pubblicitari, il sistema poteva riconoscere il dispositivo e raccogliere informazioni utili alla profilazione.
Successivamente, l’infrastruttura decideva se limitarsi al monitoraggio oppure indirizzare il dispositivo verso ulteriori componenti dell’attacco.
La selezione mirata rendeva particolarmente difficile individuare il codice dannoso: uno stesso annuncio poteva risultare innocuo per la maggioranza degli utenti e attivare una diversa sequenza soltanto per obiettivi prestabiliti.
AdFection e le istituzioni italiane: cosa emerge dalle indagini
La campagna avrebbe interessato governi, organizzazioni, strutture militari e aziende tecnologiche di diversi Paesi.
Secondo quanto riportato da Fanpage, annunci riconducibili a Discover-Tech sarebbero stati rilevati su dispositivi collegati alla Camera dei deputati, al Ministero della Difesa e alla Banca d’Italia.
I ricercatori ritengono che questi episodi possano essere collegati ad attività di profilazione. Non esistono tuttavia conferme che i sistemi delle istituzioni italiane siano stati effettivamente compromessi dallo spyware.
Le prime anomalie individuate da Al Jazeera
Le attività sospette erano state osservate dall’emittente Al Jazeera già nel 2024 e nel 2025.
Le successive verifiche con Citizen Lab hanno permesso di ricostruire le comunicazioni tra i dispositivi coinvolti, l’infrastruttura Discover-Tech e i server associati a Candiru.
Secondo l’indagine, almeno 45 dispositivi riconducibili ad Al Jazeera sarebbero stati presi di mira, con infezioni attribuite prevalentemente a Candiru.
Privacy e GDPR: le criticità nella raccolta dei dati
In seguito alle rivelazioni, Google e altri operatori del settore pubblicitario avrebbero escluso Discover-Tech dai rispettivi circuiti.
Confiant sostiene inoltre di aver individuato attività di raccolta di cookie e informazioni personali anche in assenza del consenso richiesto dal Regolamento generale sulla protezione dei dati (GDPR).
La questione riguarda direttamente la tutela della privacy nell’Unione europea, dove il trattamento dei dati personali è soggetto a specifici obblighi di trasparenza e liceità.
Dark Cartographer e l’identificazione dei numeri telefonici
Un ulteriore elemento dell’inchiesta riguarda un gruppo denominato Dark Cartographer da Citizen Lab.
Secondo i ricercatori, il gruppo avrebbe utilizzato l’infrastruttura pubblicitaria per collegare gli identificatori degli smartphone ai numeri di telefono dei proprietari.
L’operazione avrebbe sfruttato vulnerabilità nei sistemi di autenticazione automatica degli operatori mobili e nei servizi capaci di trasmettere il numero telefonico ai siti web.
Alcuni annunci avrebbero inoltre cercato di identificare gli indirizzi IP effettivi degli utenti che utilizzavano VPN o proxy.
Le vulnerabilità interesserebbero operatori telefonici di oltre 30 Paesi e sarebbero state sfruttate almeno dal 2019.
I numeri della campagna: miliardi di aste pubblicitarie
L’analisi di Confiant relativa al periodo marzo-giugno 2026 evidenzia la portata dell’operazione.
-
3,7 miliardi di offerte pubblicitarie presentate.
-
441,9 milioni di aste aggiudicate a Discover-Tech.
-
Oltre 120.000 siti web raggiunti.
-
Più di 75.000 applicazioni interessate.
-
Circa 10 milioni di visualizzazioni pubblicitarie quotidiane stimate.
Tra le applicazioni coinvolte nella distribuzione degli annunci figurerebbero Duolingo, Grindr, Truecaller e Yahoo Mail.
Gli spazi pubblicitari interessati comprendevano inoltre siti di testate internazionali come BBC e New York Times, oltre a Tripadvisor e numerosi quotidiani locali.
La presenza degli annunci su queste piattaforme non implica un loro coinvolgimento consapevole nelle attività di sorveglianza.
I collegamenti con Patternz e l’industria degli spyware
L’indagine evidenzia analogie tra AdFection e Patternz, entrambi basati sull’utilizzo delle infrastrutture pubblicitarie per raccogliere informazioni sui dispositivi.
Tra le figure precedentemente associate a Patternz compare Udi Doenyas, ex direttore tecnico di NSO Group, società nota per lo spyware Pegasus.
Secondo i documenti societari esaminati da Citizen Lab, Eric Banoun, cofondatore di Circles e Senpai Technologies, avrebbe fatto parte del consiglio di amministrazione di Discover-Tech dal 2020 al gennaio 2025.
Banoun risulterebbe inoltre azionista e amministratore di Intelos, azienda attiva nella sorveglianza attraverso i dati pubblicitari.
La pubblicità digitale e i nuovi rischi per la sicurezza informatica
Il caso AdFection evidenzia come le infrastrutture della pubblicità online possano essere utilizzate non soltanto per finalità commerciali, ma anche per identificare e selezionare potenziali obiettivi di spionaggio.
Le indagini restano aperte e non tutti i collegamenti emersi sono stati chiariti. La vicenda solleva interrogativi sulla sicurezza degli ecosistemi pubblicitari, sulla protezione dei dati personali e sulla capacità di prevenire attacchi informatici mirati contro cittadini, imprese e istituzioni.
