Banner di finte pubblicità: così un’azienda israeliana ha esposto Camera e Difesa ad attacchi spyware

Una pubblicità sullo schermo, come ne vediamo migliaia ogni giorno. Sono nei giornali online, nei siti di ricette, nelle versioni gratuite delle app che usiamo quando l’abbonamento costa troppo. Ne scorrono talmente tante che ormai ci siamo abituati al loro rumore visivo. Ora, per la prima volta, abbiamo scoperto che quelle pubblicità possono diventare uno spyware, un virus capace di entrare nel nostro smartphone e accedere a qualsiasi file che custodiamo al suo interno, dalle immagini ai documenti, passando per mail e dati sulla posizione. Non serve nemmeno un click. La pubblicità viene visualizzata e il virus comincia a penetrare nel sistema. È un nuovo schema di attacco e si chiama AdFection. Un attacco a cui sono stati esposti dispositivi riconducibili anche alla Banca d’Italia, al Ministero della Difesa e alla Camera dei Deputati, come Fanpage.it può confermare in esclusiva.

Tutte le informazioni sul caso AdFection sono conservate nell’ultimo report di Citizen Lab. Parliamo del gruppo di ricerca della University of Toronto che il 31 gennaio 2025 ha aperto il caso Paragon, svelando che lo spyware Graphite sviluppato da Paragon Solution era riuscito attraverso WhatsApp a entrare nello smartphone di giornalisti e attivisti italiani. Tra le vittime c’erano anche due giornalisti di Fanpage.it: il direttore Francesco Cancellato e il Capo Area di Napoli Ciro Pellegrino. La segnalazione di Citizen Lab aveva portato prima Meta e poi Apple ad avvisare direttamente gli utenti coinvolti in questa campagna di spionaggio. Ora Citizen Lab si è concentrata su un altro obiettivo: la società Discover-Tech.

Il sistema delle aste in tempo reale per vendere la pubblicità

Discover-Tech è una società israeliana. Il suo ruolo è quello di intermediaria, tra due mondi. Il primo è quello delle società che si occupano di sviluppare gli spyware, quei malware che sono stati costruiti per spiare e raccogliere informazioni sulle loro vittime. Parliamo di realtà come Candiru o Bindecy. Il secondo mondo è fatto dalle grandi società che si occupano di distribuire annunci pubblicitari in rete. Quelle, per intenderci, che gestiscono i banner pubblicitari. Qui l’elenco è più lungo. Si parte da Google, che praticamente ha un monopolio in questo mercato tra Stati Uniti e Europa. Si arriva a Yandex, la principale società in Russia. Ma ci sono anche altre società come Eskimi, Vungle o Beeswax, ingranaggi che lavorano nel sistema di aste in tempo reale da cui arrivano le pubblicità che vediamo sui nostri schermi.

I banner pubblicitari non sono fissi. Cambiano spesso, in base agli investitori e ai nostri interessi. Ce ne accorgiamo abbastanza facilmente. Se cerchiamo i sintomi di un mal di schiena ci troviamo bersagliati dalla pubblicità degli antidolorifici. Se per sbaglio guardiamo un’informazione di troppo sulla friggitrice ad aria, ci compariranno solo pubblicità dedicate a questo prodotto o al massimo ai libri di cucina. Le pubblicità vengono mostrate in modo chirurgico agli utenti. E per fare questo c’è bisogno di due cose: informazioni e velocità.

Il sistema delle aste pubblicitarie si basa su questi fattori. Quando apriamo una pagina dove c’è uno spazio dedicato alla pubblicità inizia quella che in gergo si chiama Real-Time Bidding (RTB), Offerta in tempo reale. Dallo spazio pubblicitario parte una Bid Request, una richiesta di offerta che viene mandata a una piattaforma SSP (Supply-Side Platform). Qui arrivano alcune informazioni dell’utente: come l'indirizzo IP, il Mobile Advertising ID o il cookie ID. Insomma. Alla piattaforma arriva un codice che mostra diverse informazioni che riguardano l’utente. Tutto è automatizzato.

Le piattaforme SSP dialogano con le piattaforme DSP (Demand-Side Platform), dove invece i clienti acquistano spazi pubblicitari. Se le caratteristiche del cliente incontrano quelle ricercate dalle aziende allora viene fatta un’offerta per quel preciso spazio pubblicitario. L’offerta migliore si aggiudica lo spazio. Detto così sembra un processo molto macchinoso. Invece tutto avviene nel giro di pochissimi istanti. Non ci sono operatori reali ma solo sistemi automatizzati.

Facciamo un esempio: un’azienda vende penne stilografiche. Decide che vuole mostrare la sua pubblicità a un pubblico che sia tra i 40 e i 50 anni, istruito, che risiede in Centro Italia. Stanzia un budget per la campagna, il budget viene gestito da una piattaforma che si occupa di acquistare spazi pubblicitari. Ogni volta che un utente con queste caratteristiche si affaccia a uno spazio pubblicitario parte un’asta per venderlo. Se la piattaforma a cui si è rivolta l’azienda di penne stilografiche lavora bene, allora riuscirà a piazzare la sua pubblicità in quello spazio.

Il ruolo di Discover-Tech: sembrano pubblicità ma sono solo spyware

Da fuori Discover-Tech sembrava una di queste società di intermediazione. Nello specifico una DSP (Demand-Side Platform), quelle a cui si rivolgono i clienti per creare una campagna pubblicitaria in grado di intercettare un pubblico specifico. Secondo la ricostruzione di Citizen Lab, Discover-Tech non si sarebbe mai occupata di vendere pubblicità. Il suo ruolo era solo quello di consentire alle aziende che si occupano di spyware di accedere al sistema delle pubblicità online. Tutto avveniva attraverso una piattaforma: Controlium. Nel report abbiamo potuto vedere anche diversi screen che arrivano da questo sistema. Con i comandi di Controlium si può scegliere con molta precisione chi colpire: si possono selezionare informazioni sulla vittima che vanno dall’indirizzo IP ai cookie ID del browser, passando dall’Advertising ID. Sono tutte informazioni che rivelano abitudini, origine ed età degli obiettivi. Nel mercato della pubblicità servono per capire chi è l’utente, e decidere quale banner mostrare. In quello degli spyware servono per selezionare la vittima.

Tutte queste informazioni devono essere già in mano a chi vuole usare Discover-Tech. Sono dati che arrivano dalle piattaforme di Ad Intelligence (ADINT), da attacchi hacker, operazioni con data-broker o attività di spionaggio. Nel momento in cui tutte le informazioni vengono caricate su Discover-Tech è fatta. Bisogna solo aspettare che la vittima apra una pagina con uno spazio pubblicitario. A questo punto parte il Real-Time Bidding (RTB): se Discover-Tech riesce ad aggiudicarselo allora può inviare una impression sul dispositivo della vittima e da qui far partire lo spyware. La tipologia di questi malware è varia. Lo schema però è sempre lo stesso: insieme all’immagine della pubblicità viene inviata anche una porzione di codice che agisce senza essere vista. Controlium è il fucile di precisione, lo spyware è il proiettile che colpisce il bersaglio.

Citizen Lab ha stimato anche una tempistica. Gli attacchi con questa forma di AdFection ci mettono circa 10 secondi per colpire lo smartphone della vittima e un massimo di 3 minuti per portare il dispositivo in uno stato che in gergo si chiama Command and Control. Lo spyware crea un passaggio nascosto da cui vengono prese e immesse informazioni nel dispositivo. Una nota: non tutti i banner gestiti da Controlium sono dannosi. Lo spyware viene inviato solo ai soggetti che sono nel mirino di chi sta organizzando l’attacco.

I bersagli italiani: Banca d’Italia e Ministero della Difesa

Citizen Lab ha analizzato dove sono apparse le impression gestite da Discover-Tech. Anche qui un passaggio tecnico: con questa formula si intendono le apparizioni dei banner pubblicitari. Come abbiamo già detto, una impression non equivale sempre a un attacco spyware, ma mette le basi per farlo. L’elenco è lungo: i dispositivi dove sono apparsi i banner di Discover-Tech sono legati a istituzioni come Nato, ONU o Unione Europea. C’è un cluster di dispositivi collegati ai governi degli Stati del Nord Europa, come Norvegia, Svezia e Danimarca. Qui le impression sono state rintracciate su dispositivi collegati alla Polizia, ai nodi delle telecomunicazioni, municipi locali o enti energetici.

Anche l’Italia è coinvolta in queste segnalazioni. Almeno su due target, confermati nel report: Banca d’Italia e Ministero della Difesa. Su dispositivi collegati a questa rete sono apparsi gli annunci gestiti dai sistemi di Discover-Tech. Al momento non possiamo sapere se, oltre al banner, è stato inviato anche uno spyware. Non solo. Citizen Lab ha confermato a Fanpage.it che tra i dispositivi dove sono apparse le impression di Discover-Tech ce ne sono anche alcuni dispositivi collegati alla Camera dei Deputati.

Le app colpite, da Duolingo alla BBC

L’ultimo dato interessante del report riguarda i servizi su cui venivano proiettati gli spazi pubblicitari di Discover-Tech. Anche qui una premessa: questi servizi non sono coinvolti negli attacchi AdFection, Discover-Tech agiva come una società accreditata nel mercato pubblicitario. L’elenco è molto lungo. La maggior parte dei banner veniva mostrata sulle app. Parliamo di nomi molto popolari come Duolingo, ma anche dating app come Badoo o Grindr. Non mancano app dedicate alle mail come Yahoo Mail o quelle per il tracciamento del ciclo mestruale come Period Calendar Period Tracker. Il 23% delle impression tracciate invece arriva da siti, tra questi ci sono molte piattaforme che si occupano di news: partiamo dal New York Times per arrivare alla BBC, alla CBC o Haaretz. Ma ci sono anche servizi meteo come AccuWeather o siti di recensioni come Tripadvisor.