Gli annunci di Discover-Tech hanno infettato i dispositivi di Al Jazeera

Chi lavora in programmatic conosce bene un log di bid request, cioè le richieste d’offerta che un’app o un sito inviano al mercato per ogni impression disponibile: milioni di righe, migliaia di app e siti che nessuno controlla uno per uno. In un log di questo tipo il Citizen Lab dell’Università di Toronto ha trovato qualcosa di molto diverso da un problema di brand safety. Secondo l’analisi pubblicata dal Citizen Lab a metà ottobre, i dispositivi della rete internazionale di notizie Al Jazeera sono stati infettati con lo spyware mercenario di Candiru, rinominata “Integrity Labs”, attraverso pubblicità online mirate. Il canale di distribuzione era il fornitore pubblicitario Discover-Tech. La notizia risale a una decina di giorni fa e le rimozioni dai registri dei vendor sono di inizio mese. Non si tratta quindi di breaking news, ma di un caso che chi compra media dovrebbe studiare con calma.

Quattro miliardi di bid request e un fornitore da cancellare

Partiamo dai numeri, che sono quelli di una filiera programmatica qualunque. I ricercatori hanno analizzato quasi quattro miliardi di record di offerte pubblicitarie riconducibili a Discover-Tech. Tra marzo e giugno 2026 gli annunci del fornitore sono comparsi su oltre 70.000 app mobili e su oltre 120.000 siti web. Sono volumi che chiunque abbia aperto un report di inventory su una DSP (demand-side platform, la piattaforma da cui l’acquirente compra impression in asta) riconosce come normali. Per questo il caso preoccupa: dall’esterno, Discover-Tech sembrava un nodo come tanti della supply chain.

La reazione delle piattaforme è arrivata solo dopo l’indagine. Google e IAB Europe hanno rimosso Discover-Tech dai rispettivi registri di fornitori pubblicitari all’inizio di ottobre 2026. Fino a quel momento il vendor compariva negli elenchi che molti team ad-ops usano come prima verifica di affidabilità. Chi passava da quel fornitore, allora, che cosa stava comprando davvero?

Quando il targeting diventa un’arma

Passando dai dati aggregati al singolo bersaglio, il quadro cambia. La precisione che il settore vende come microtargeting è proprio ciò che serve a chi vuole colpire una persona specifica. Secondo la ricostruzione, almeno 45 dispositivi all’interno di Al Jazeera sono stati presi di mira con attacchi “zero-click”, cioè infezioni che non richiedono alcuna azione da parte della vittima: nessun clic, nessun download. La ricostruzione colloca questi attacchi nel 2024, quindi ben prima della finestra di marzo-giugno 2026 in cui è stato misurato il footprint pubblicitario di Discover-Tech. Le due cose vanno tenute distinte: da una parte gli attacchi documentati, dall’altra la scala che il fornitore ha continuato ad avere nel bid stream.

Il meccanismo ha un nome. Come spiega Bill Marczak del Citizen Lab, citato da un approfondimento di Wired, AdFection consente agli operatori di “hackerare automaticamente individui specifici con spyware mercenario mentre usano app o navigano su internet”. In pratica la logica dell’asta in tempo reale, con l’identificazione del dispositivo, la scelta dell’audience e la consegna dell’annuncio, viene riutilizzata per consegnare un exploit invece di una creatività. Per un media buyer è un paradosso scomodo: le stesse leve di segmentazione che migliorano CPA (costo per acquisizione) e ROAS (ritorno sulla spesa pubblicitaria) sono quelle che rendono possibile l’attacco mirato.

Non si tratta nemmeno di un attore isolato. Già nel settembre 2023 un’inchiesta di Haaretz aveva documentato aziende cyber israeliane che sviluppavano e vendevano tecnologia capace di sfruttare il sistema pubblicitario online per hackerare e sorvegliare civili. Secondo il quotidiano, una di queste capacità sarebbe stata venduta a uno Stato non democratico. La società di sicurezza pubblicitaria Confiant, nella sua analisi sull’ADINT applicato allo spyware, collega direttamente Discover-Tech a Intelos, un’altra azienda israeliana di cyber-sorveglianza che vende apertamente capacità ADINT (advertising intelligence, l’intelligence ricavata dai dati pubblicitari). Sul fronte Candiru, il Citizen Lab aveva già identificato in una precedente ricerca sul vendor oltre 750 siti web collegati alla sua infrastruttura di spyware.

Il mercato ADINT, insomma, è documentato almeno dal 2023. La domanda per chi pianifica non riguarda tanto l’esistenza del problema quanto la tenuta della propria due diligence sui fornitori di fronte a questa realtà.

Cosa controllare prima del prossimo flight

Riportiamo la questione alla scrivania di chi gestisce le campagne. La rimozione di Discover-Tech è arrivata a valle dell’indagine, non a monte. Google, oltre a chiudere la registrazione del fornitore alla piattaforma pubblicitaria, ha aggiunto avvisi Safe Browsing, cioè gli avvisi che il browser mostra quando un sito è considerato pericoloso. Sono segnali utili, ma tardivi: per mesi il vendor era regolarmente censito. Usare i registri di Google e IAB Europe come unico filtro significa delegare la verifica a chi, in questo caso, si è mosso solo dopo la pubblicazione della ricerca.

Sul piano operativo, questo vuol dire estendere la verifica dei partner programmatici alla sicurezza: chiedere chi controlla davvero il fornitore, quali sono i suoi legami societari e se compare in ricerche di sicurezza come quelle di Citizen Lab o Confiant. Vuol dire anche controllare periodicamente i registri per eventuali rimozioni e trattare un avviso Safe Browsing su un dominio della filiera come un campanello d’allarme da verificare, non come rumore. Il trade-off è evidente: più controlli significano più tempo di onboarding e, a volte, meno inventory a basso costo. In cambio si riduce il rischio di finanziare, anche inconsapevolmente, un canale di sorveglianza.

Il tema non resterà confinato agli ambienti della sicurezza informatica. Il Committee to Protect Journalists ha chiesto alle autorità israeliane e alle altre autorità competenti di indagare e perseguire i responsabili dell’infezione dei dispositivi di Al Jazeera. Quando la pressione arriva da organizzazioni per la libertà di stampa, prima o poi coinvolge anche chi compra media e chi gestisce le piattaforme. E resta aperta una domanda: quanti altri nodi della filiera sono ancora nei registri senza che nessuno li abbia esaminati da vicino?

Prima di attivare un nuovo partner programmatico, quindi, non basta più chiedersi dove finiscono le proprie impression. Bisogna chiedersi anche chi altro usa quella stessa infrastruttura, e per quale scopo. Chi aspetta che sia Google a cancellare un fornitore dal registro arriva già in ritardo.