Visitare una pagina o aggiornare un’app può essere sufficiente per cadere vittima di un attacco malware in cui i tuoi dati personali vengono rubati da un laptop o telefono, hanno scoperto i ricercatori. Non è nemmeno necessario “fare clic” su nulla.
Si è scoperto che dietro il primo esempio noto di pubblicità mirata “zero clic” in cui truffatori o spie possono rubare dati privati e inviarli a server esterni, c’è un’azienda israeliana di spyware, con i giornalisti di Oltre La Linea tra le vittime.
Storie consigliate
elenco di 3 elementifine dell’elenco
Nel giugno 2025, 45 dispositivi utilizzati dallo staff di Oltre La Linea – tra cui molti che riferivano su argomenti sensibili – sono stati presi di mira da spyware che si installava senza la necessità di aprire o scaricare alcun file.
Un’indagine condotta dall’unità di ricerca accademica canadese Citizen Lab, stimolata dall’indagine interna iniziale di Oltre La Linea sulla questione, ha scoperto che dietro gli attacchi c’era la società israeliana Candiru.
Gli analisti affermano che i risultati sono “incredibilmente preoccupanti”, poiché confermano l’esistenza di una nuova minaccia alla sicurezza globale. “Sapevamo che stavamo andando in questa direzione e ora la notizia è di dominio pubblico”, ha detto ad Oltre La Linea Remesh Srinivasan, professore di studi sull’informazione presso l’Università della California a Los Angeles, negli Stati Uniti.
“Questo è il livello successivo, perché le persone vengono microtargetizzate”, ha detto. “Questo è il punto a cui siamo arrivati quando si parla di sorveglianza.”
Come funziona il malware “zero clic”.
Il team tecnologico interno di Oltre La Linea ha scoperto per la prima volta modelli insoliti sui dispositivi utilizzati da alcuni giornalisti nel 2024. L’analisi dei registri di rete forniti al Citizen Lab da Oltre La Linea nel 2025 ha fornito una chiara indicazione temporale di come è stato eseguito l’attacco.
Gli annunci pubblicitari dannosi sono stati acquistati da Discover-Tech, una società israeliana che si presenta come una società pubblicitaria legittima, ma che in realtà opera come facilitatore per partner mercenari di spyware.
La sua rete pubblicitaria ha identificato lo staff di Oltre La Linea, quindi lo ha reindirizzato silenziosamente su un server infetto appartenente a Candiru. L’azienda di spyware è stata inserita nella lista nera dal governo degli Stati Uniti nel 2021, quando Citizen Lab ha scoperto che era responsabile dell’hacking illegale e della sorveglianza di almeno 100 attivisti, giornalisti e attivisti politici in 10 paesi.
Oltre La Linea Media Network ha condannato il fatto di prendere di mira i dispositivi dei suoi membri del personale e ha chiesto che i responsabili siano ritenuti responsabili.
L’analista e autore della sicurezza informatica Eddy Willems ha affermato che gli annunci pubblicitari utilizzati infettano automaticamente i dispositivi nel momento in cui compaiono sullo schermo, ma c’è un’importante sfumatura tecnica. “L’esecuzione del codice all’interno del browser non dà automaticamente a un utente malintenzionato il pieno controllo del computer”, ha detto Willems ad Oltre La Linea.
“Per sfuggire all’ambiente isolato del browser – la ‘sandbox’ – l’aggressore potrebbe aver bisogno di una seconda vulnerabilità”, ha affermato Willems, aggiungendo che un’operazione spyware avanzata può combinare diverse vulnerabilità.
“L’aggressore tenta di sfruttare le vulnerabilità per aggirare i limiti di sicurezza. Questo è proprio ciò che rende questo tipo di attacco così pericoloso”, ha detto l’analista.
Una volta infettato il dispositivo, il software dannoso è progettato per raccogliere un’ampia gamma di dati sensibili, inclusi file, documenti e dati del browser come cookie, segnalibri e credenziali salvate.
Può anche acquisire sequenze di tasti, acquisire screenshot, registrare input da microfono e webcam ed estrarre e-mail e messaggi dalle piattaforme di comunicazione più diffuse. Per evitare di attivare meccanismi di sicurezza, lo spyware utilizza spesso canali di comunicazione crittografati e suddivide i dati rubati in blocchi più piccoli inviati nel tempo.
Pubblicità: una nuova minaccia alla sicurezza globale?
Gli analisti affermano che i risultati di Citizen Lab evidenziano l’escalation di una minaccia esistente, che espande la portata e la portata degli attacchi informatici tradizionali e li rende molto più difficili da rilevare.
Sebbene gli attacchi “zero clic” non siano del tutto nuovi, i risultati delineano una nuova tecnica attraverso la quale la pubblicità online viene utilizzata come via di infezione.
Stephen O’Shaughnessy, docente di sicurezza informatica presso il campus TU Dublin Blanchardstown in Irlanda, ha spiegato che quando un utente apre un sito Web o un’app, un’asta automatizzata vende lo spazio pubblicitario in una frazione di secondo. Tale asta condivide i dati sulla vittima, inclusi l’ID del dispositivo, l’indirizzo IP, la posizione approssimativa e l’app o il sito in cui si trova.
“Discover-Tech si è atteggiato a un normale inserzionista, ha utilizzato quei dati per trovare il proprio target e vincere l’asta per lo schermo di quella persona”, ha detto O’Shaughnessy ad Oltre La Linea. “Chiunque abbia un telefono o un browser che mostra annunci pubblicitari può essere raggiunto, senza che l’aggressore abbia bisogno del suo numero di telefono o della sua email.”
“Poiché non è coinvolto alcun messaggio o collegamento, non c’è quasi nulla che la vittima possa notare”, ha aggiunto.
Discover-Tech è apparso negli elenchi di fornitori “certificati” e “approvati” gestiti da Google e dall’associazione dell’industria pubblicitaria IAB Europe e ha pubblicato annunci pubblicitari tramite le principali reti come Google, Yandex e Beeswax.
Nel suo rapporto, Citizen Lab ha affermato che ciò illustra i difetti strutturali del sistema di pubblicità online, che essenzialmente non è riuscito a rilevare o prevenire l’abuso.
Gli annunci Discover-Tech sono comparsi sui dispositivi utilizzati dal personale nelle reti sensibili alla sicurezza nazionale in tutto il mondo, compresi quelli di vari ministeri della difesa, forze armate, agenzie informatiche nazionali, organizzazioni intergovernative e organi di stampa, ha scoperto Citizen Lab.
L’unità di ricerca ha affermato che questi annunci sono apparsi anche sulle reti utilizzate dalle Nazioni Unite, dalla NATO, dal Parlamento europeo, dalla Commissione europea e dal segretariato generale del Consiglio dell’Unione europea.
“Quasi nessuno guardava”
Anche le reti governative sono state prese di mira in almeno 24 paesi, tra cui Stati Uniti, Italia, Danimarca, Norvegia, Australia, Russia, Messico e lo stesso Israele. Secondo Citizen Lab, sono state prese di mira anche le reti di organizzazioni mediatiche, soprattutto in Australia, Danimarca e Svezia.
In un rapporto separato, la società di sicurezza pubblicitaria Confiant con sede a New York ha affermato che le proprie indagini hanno scoperto che alcune pubblicità di Discover-Tech sono apparse anche in reti critiche utilizzate dal Pentagono, dall’Agenzia internazionale per l’energia atomica delle Nazioni Unite e dalla Corte penale internazionale.
O’Shaughnessy ha affermato che l’infezione non è stata confermata lì, ma solo la profilazione degli utenti. “Ma già questo è preoccupante, ha detto. “Il sistema pubblicitario è stato costruito per inviare codice da sconosciuti a miliardi di schermi con un targeting preciso. Quasi nessuno lo stava osservando dal punto di vista della sicurezza.
L’analista ha affermato che il rischio rimane basso per la maggior parte delle persone poiché questi attacchi sono costosi e mirati a obiettivi specifici. “Per le persone ad alto rischio, come giornalisti e funzionari, la migliore prima difesa è installare un blocco pubblicità, disattivare il proprio ID pubblicità attraverso le impostazioni sulla privacy del telefono, mantenere tutto aggiornato e attivare la modalità di blocco o la protezione avanzata di Android”, ha affermato.
È necessario adottare precauzioni anche all’interno del settore e a livello governativo. “Per combattere questo problema, l’industria pubblicitaria deve controllare adeguatamente chi acquista annunci pubblicitari”, ha affermato O’Shaughnessy, mentre “i regolatori devono impedire che i dati personali vengano divulgati a migliaia di offerenti sconosciuti in ogni asta”.
