Anúncios maliciosos conseguem instalar spyware em celulares sem nenhum clique

Um simples anúncio exibido na tela do celular pode ser suficiente para comprometer a segurança do dispositivo, mesmo que o usuário não clique em absolutamente nada. Uma nova investigação revelou como empresas especializadas em vigilância utilizaram o sistema de publicidade da internet para distribuir programas espiões capazes de infectar aparelhos de maneira silenciosa.

A descoberta foi divulgada em 15 de outubro de 2026 pelo Citizen Lab. Os pesquisadores identificaram uma campanha chamada AdFection, que explorava anúncios direcionados para entregar spyware a dispositivos selecionados, sem exigir qualquer interação das vítimas.

Segundo a investigação, a operação envolveu a empresa israelense Discover-Tech, que atuava como intermediária entre plataformas de publicidade e fornecedores de ferramentas de espionagem. Um dos casos confirmados envolveu pelo menos 45 dispositivos da rede de notícias Al Jazeera, atacados entre 2024 e 2025.

Os pesquisadores classificaram a descoberta como a primeira comprovação técnica pública de que anúncios direcionados foram utilizados para distribuir spyware comercial por meio de ataques conhecidos como zero-click.

Como os anúncios conseguem infectar celulares sem nenhum clique?

Normalmente, ataques envolvendo anúncios maliciosos tentam convencer a vítima a acessar um link, baixar um arquivo ou instalar um aplicativo. No entanto, o método identificado pelo Citizen Lab funciona de maneira diferente.

A técnica utiliza o próprio mecanismo de publicidade presente em sites e aplicativos. Quando uma pessoa abre uma página ou utiliza um aplicativo com anúncios, sistemas automatizados realizam leilões em tempo real para determinar qual publicidade será exibida.

Nesse processo, anunciantes podem receber informações como endereço IP, identificadores de publicidade e características do dispositivo, permitindo direcionar anúncios a usuários específicos. A Discover-Tech explorava essa infraestrutura por meio de uma plataforma chamada Controlium. Os anúncios continham códigos capazes de estabelecer comunicação com servidores externos assim que eram carregados.

Quando o sistema identificava um dispositivo selecionado para espionagem, podia encaminhá-lo à infraestrutura de ataque da empresa Candiru, responsável por ferramentas de vigilância digital. O aspecto mais preocupante é que a vítima não precisava tocar no anúncio, aceitar uma permissão ou baixar qualquer arquivo. A exploração podia começar automaticamente durante o carregamento da publicidade, inclusive quando ela era processada em segundo plano.

Isso não significa, porém, que qualquer anúncio consiga infectar qualquer celular. O ataque depende de condições técnicas específicas e da exploração de vulnerabilidades no dispositivo.

Operação alcançou mais de 120 mil sites e 75 mil aplicativos

A dimensão da campanha chamou a atenção dos especialistas. Ao analisar bilhões de registros de leilões publicitários, o Citizen Lab identificou anúncios vinculados à infraestrutura investigada em 120.768 sites e 75.373 aplicativos para Android e iOS, entre março e junho de 2026.

Entre os aplicativos que exibiram esses anúncios estavam serviços populares como Viber, Yahoo Mail, Opera Mini, Duolingo e Truecaller. O relatório também identificou publicidade em aplicativos de previsão do tempo, reprodução de vídeos e jogos para dispositivos móveis.

Isso não significa que esses serviços tenham participado conscientemente da operação. Os anúncios foram distribuídos por intermediários do mercado publicitário, e sua presença em um aplicativo não comprova que ele estivesse comprometido.

Outro detalhe importante é que a exibição dos anúncios não equivale automaticamente à instalação do spyware. Na maioria dos casos, a infraestrutura coletava informações para rastreamento ou identificação dos usuários, enquanto a entrega de códigos de ataque era reservada a determinados alvos.

Mesmo assim, a descoberta demonstra como sistemas utilizados diariamente por milhões de pessoas podem ser explorados para operações de vigilância.

Brasil aparece entre os países alcançados pela operação

A investigação também encontrou registros associados ao Brasil. Segundo os dados analisados pelo Citizen Lab, a plataforma da Discover-Tech realizou aproximadamente 76,1 milhões de ofertas em leilões publicitários relacionados a endereços IP geolocalizados no território brasileiro.

O país aparece entre os dez com maior quantidade de ofertas envolvendo anúncios que aparentemente continham códigos de comunicação com a infraestrutura investigada. Os pesquisadores também identificaram impressões publicitárias em redes operadas por órgãos governamentais brasileiros, embora não tenham detalhado quais instituições foram afetadas.

É importante ressaltar que os números representam ofertas publicitárias, e não a quantidade de pessoas infectadas. Até o momento, a investigação não confirmou publicamente casos específicos de brasileiros que tiveram seus dispositivos comprometidos por esse método. Ainda assim, a presença do Brasil nos registros reforça o alcance internacional da operação.

Como se proteger de anúncios maliciosos?

Embora a operação tenha utilizado ferramentas sofisticadas e direcionadas a alvos específicos, o Citizen Lab recomenda algumas medidas para reduzir os riscos associados a ataques desse tipo. Entre as orientações estão utilizar navegadores com mecanismos de proteção contra rastreamento, instalar bloqueadores de anúncios confiáveis e desativar a personalização publicitária sempre que possível.

Os pesquisadores também recomendam redefinir periodicamente o identificador de publicidade dos dispositivos móveis e considerar soluções de bloqueio de anúncios no nível da rede doméstica. Manter o sistema operacional, o navegador e os aplicativos atualizados continua sendo uma precaução importante, já que ataques zero-click podem explorar vulnerabilidades corrigidas por atualizações de segurança. Nenhuma dessas medidas, entretanto, garante proteção absoluta contra ferramentas avançadas de espionagem.

A descoberta revela um problema mais amplo da publicidade digital: uma infraestrutura desenvolvida para conectar anunciantes e consumidores também pode ser utilizada para identificar, monitorar e comprometer dispositivos sem que seus proprietários percebam.

Para os pesquisadores, o caso demonstra a necessidade de fiscalização mais rigorosa sobre intermediários publicitários e de novas medidas para impedir que sistemas de anúncios sejam transformados em ferramentas de vigilância.

Fonte: Arstechnica e Citizen Lab