AdFection: com un anunci pot infectar-te el dispositiu sense que facis clic

Mentre mires una pàgina web o uses una aplicació, la publicitat que hi veus es decideix en menys d'un segon, en una subhasta automàtica. Aquest mecanisme, pensat per vendre anuncis, és el que ha servit per instal·lar programari espia en ordinadors de periodistes. Ho explica un informe del Citizen Lab, publicat el 15 d'octubre de 2026, que anomena la tècnica AdFection.

El Citizen Lab és un grup de recerca en drets digitals de la Universitat de Toronto. Segons TechCrunch, és la primera confirmació pública d'espionatge «zero-click», és a dir, que infecta un dispositiu sense que la víctima obri cap missatge ni cliqui cap enllaç, entregat a través d'anuncis en línia.

Què ha trobat el Citizen Lab

L'informe assenyala una empresa israeliana, Discover-Tech, que compra anuncis maliciosos i gestiona una plataforma anomenada Controlium. Aquesta plataforma permet als seus socis, segons el Citizen Lab, identificar un dispositiu i infectar-lo en el moment en què es mostra l'anunci. Els investigadors vinculen amb confiança alta les infeccions a Candiru, una empresa de programari espia (ara coneguda com a Integrity Labs). També relacionen Discover-Tech amb altres actors del sector, com Intelos i Bindecy.

El cas documentat és el d'Al Jazeera: com a mínim 45 dispositius van ser atacats durant el 2024 i el 2025. TechCrunch precisa que eren ordinadors amb Windows. El Citizen Lab no ha pogut determinar quins governs hi ha al darrere.

Com funciona l'atac

Tot comença en la publicitat programàtica: quan carregues una pàgina, el teu dispositiu envia una sol·licitud d'anunci i diversos anunciants hi pugen. Aquest sistema s'anomena subhasta en temps real. Segons l'informe, l'atac segueix quatre passos:

1. Subhasta. El dispositiu envia la sol·licitud i els anunciants hi fan ofertes en menys d'un segon.
2. Guanyar i mostrar. Discover-Tech guanya l'oferta i el seu anunci es mostra en una aplicació o un navegador, de vegades en segon pla.
3. Comprovació. L'anunci demana codi JavaScript a un servidor de l'empresa, que decideix, segons l'adreça IP i els identificadors publicitaris, si l'objectiu és «apte».
4. Lliurament. Només els objectius aptes reben el codi; els altres reben una resposta buida, tot i que se n'enregistren les dades.

En el cas d'Al Jazeera, el dispositiu contactava amb la infraestructura de Discover-Tech, després amb un servidor validador de Candiru i, finalment, amb un servidor de control de l'espia.

L'escala del que s'ha vist

Els investigadors van analitzar prop de quatre mil milions de registres d'ofertes, de quatre mesos. Dins de les dades de la plataforma MyDSP, de març a juny de 2026 hi consten 3.770.286.576 ofertes, de les quals 441.954.291 (l'11,7 %) van ser guanyades, amb una despesa d'uns 109.091 dòlars. Els anuncis van aparèixer en 75.373 aplicacions i 120.768 llocs web.

Per països, el nombre més gran d'ofertes en brut va ser al Iemen (457.283.658), seguit del Pakistan, Montenegro i el Brasil. També hi ha impressions a xarxes de ministeris, exèrcits, l'OTAN, l'ONU i institucions de la UE, però l'informe adverteix que això no és una prova d'infecció. TechCrunch afegeix que Confiant, una plataforma de qualitat publicitària que va treballar amb el Citizen Lab, va trobar indicis d'anuncis potencialment maliciosos en dispositius de les xarxes de l'Agència Internacional de l'Energia Atòmica i de la Cort Penal Internacional.

Qui ha reaccionat

El Citizen Lab va demanar comentaris a 13 empreses. A principis d'octubre, Google i IAB Europe van retirar Discover-Tech dels seus registres de proveïdors; Beeswax la va treure de la plataforma, Vungle (Liftoff) va aturar-li l'accés i Eskimi va bloquejar-ne els comptes i els dominis. Altres no van respondre dins del termini. Segons TechCrunch, ni Al Jazeera ni Discover-Tech van respondre, i Integrity Labs no va poder ser localitzada.

Què no se sap

Convé ser prudents amb les xifres. El Citizen Lab reconeix que només veu el trànsit de Discover-Tech a través de MyDSP, així que els números probablement són incomplets. Tampoc se sap quins governs van encarregar els atacs ni si les impressions a organismes sensibles van derivar en infeccions. Bill Marczak, investigador sènior del Citizen Lab, va dir a TechCrunch que Discover-Tech és «segurament només la punta de l'iceberg».

Què pots fer

Per a la majoria de persones el risc d'aquest tipus d'atac és baix: costa diners i s'adreça a objectius concrets. Però qui, per la seva feina, pugui ser-ne un (periodistes, activistes, personal de seguretat) té una recomanació clara. Marczak aconsella desactivar el seguiment publicitari dels dispositius o, fins i tot, bloquejar els anuncis del tot. Els experts en privadesa fa temps que recomanen els bloquejadors d'anuncis, i aquest cas en reforça l'argument. Si algun terme tècnic t'ha quedat lluny, el glossari d'IA pot ajudar-te amb els bàsics.

L'informe demana als reguladors que investiguin si Discover-Tech i Candiru han infringit la llei, i demana a legisladors, defensors i indústria publicitària que actuïn contra atacs d'aquest tipus. Aquesta part final de l'informe no l'hem pogut llegir sencera.

El mateix dia, Google ha llançat als Estats Units una cistella de compres amb agents d'IA, de la qual parlem a l'article sobre Universal Cart.

Article tancat el 1 de novembre de 2026. Recull les dades fins a aquesta data. Per seguir el tema, consulta els titulars de la portada.