In questo articolo Indice dei contenuti 2 sezioni
Una pubblicità qualunque, caricata in un angolo dello schermo senza che nessuno ci faccia caso, può essere sufficiente per installare uno spyware su un dispositivo. A documentarlo è un’indagine del Citizen Lab, il laboratorio di ricerca dell’Università di Toronto, che ha ricostruito una tecnica chiamata AdFection. Si tratta di un sistema capace di veicolare software spia attraverso annunci pubblicitari in modalità zero click, quindi senza che la vittima debba fare assolutamente nulla.
La pubblicità online è uno dei pilastri dell’economia digitale e proprio per questo il caso pesa parecchio. Al centro dell’inchiesta c’è Discover Tech, società israeliana che secondo i ricercatori avrebbe facilitato la diffusione di programmi di sorveglianza usando strumenti pensati per raggiungere destinatari ben precisi. Il punto è che un’infrastruttura commerciale del tutto legittima, quella degli annunci, si è rivelata sfruttabile per scopi offensivi. E questo apre più di una domanda sulla sicurezza delle piattaforme e sui controlli applicati agli inserzionisti.
Come funziona AdFection e perché non serve nemmeno un clic
Il meccanismo poggia sul modo in cui lavorano le reti pubblicitarie, dove le inserzioni vengono distribuite da sistemi automatizzati. Gli annunci possono contenere codice che viene eseguito nel browser o nell’app che li mostra. Di solito serve a gestire contenuti e attività promozionali, ma diventa un problema serio quando dentro ci finiscono componenti malevole.
Stando al rapporto, Discover Tech si appoggiava a una piattaforma chiamata Controlium, che permetteva di individuare dispositivi specifici grazie agli identificatori pubblicitari e agli indirizzi IP. Quando l’inserzione arrivava al bersaglio scelto, il codice incorporato contattava l’infrastruttura della società, che a quel punto poteva rispondere con nuove istruzioni. La catena poteva spingersi fino a sfruttare le vulnerabilità del dispositivo per installare lo spyware.
La parte più subdola di AdFection è proprio l’assenza di un gesto da parte dell’utente. Non bisogna toccare l’annuncio né scaricare allegati sospetti, perché basta la semplice visualizzazione ad avviare tutto, anche quando la pubblicità viene caricata in secondo piano. C’è poi un altro dettaglio non da poco. Se il codice dannoso viene consegnato soltanto ai bersagli selezionati, i sistemi che analizzano gli annunci fanno molta più fatica a scovarlo.
I ricercatori hanno ricostruito attacchi contro dispositivi appartenenti alla rete internazionale Al Jazeera, collegandoli con elevata confidenza allo spyware di Candiru. Per farlo hanno esaminato i registri delle comunicazioni e seguito il percorso dei dispositivi compromessi. Chi abbia commissionato le operazioni, invece, non è stato possibile stabilirlo con certezza.
Numeri, accreditamenti e il nodo della privacy
La faccenda va ben oltre il singolo episodio. Analizzando circa quattro miliardi di registrazioni delle aste pubblicitarie, il Citizen Lab ha scoperto che gli annunci riconducibili a Discover Tech erano comparsi su quasi 200.000 siti web e applicazioni in vari Paesi. Un dato che mostra bene quanto i circuiti di distribuzione possano amplificare gli abusi quando le verifiche sui soggetti coinvolti sono carenti.
Anche la questione della privacy entra in gioco. Gli identificatori pubblicitari e le informazioni tecniche trasmesse durante la consegna degli annunci possono aiutare a riconoscere singoli dispositivi, rendendo possibile una scelta dei bersagli estremamente precisa. Il rischio quindi non si limita all’installazione di software spia ma riguarda anche l’uso improprio dei dati raccolti durante le normali attività online. Per affrontare il problema serve una responsabilità condivisa tra intermediari pubblicitari, sviluppatori, organismi di controllo e ricercatori indipendenti, insieme a maggiore trasparenza sui criteri di ammissione degli inserzionisti e alla capacità di verificare come si comportano davvero le campagne.
C’è poi un aspetto particolarmente significativo che riguarda la posizione della società nel mercato. Discover Tech compariva negli elenchi di fornitori approvati da Google e dall’associazione IAB Europe, segno che l’accreditamento commerciale da solo non mette al riparo da comportamenti pericolosi. Dopo le segnalazioni, diverse aziende del settore hanno interrotto o sospeso i rapporti con la società.
Fonte: TecnoAndroid