Pesquisadores do Citizen Lab descobriram que o spyware Candiru, de uma empresa israelense que vende ferramentas de vigilância, foi entregue a aparelhos da Al Jazeera Media Network por meio de anúncios online direcionados. O ataque é do tipo zero-click: basta o anúncio malicioso ser exibido no aparelho para a infecção acontecer, sem nenhum toque da vítima.

Os pesquisadores chamaram a técnica de AdFection e afirmam que este é o primeiro registro público confirmado de spyware de mercenários entregue por anúncios direcionados. Um método parecido já havia sido documentado no fim de 2025 pela Anistia Internacional, com anúncios que infectaram alvos com o spyware Predator.

Segundo o Citizen Lab, a operação foi ligada à empresa israelense Discover-Tech, descrita pelos pesquisadores como uma ponte entre fornecedores de spyware e o ecossistema de publicidade. Ela vendia uma plataforma chamada Controlium, que permitia escolher aparelhos específicos para receber código malicioso ou para traçar perfis e identificar os usuários.

Na prática, a empresa comprava espaços de anúncio em redes e plataformas comuns. Os anúncios carregavam um script que consultava um servidor próprio ao ser exibido. Esse servidor, usando dados como endereço IP e identificadores publicitários, decidia quais aparelhos mereciam receber código adicional. Os demais simplesmente não recebiam nada, o que ajudava a manter a operação escondida.

A Al Jazeera forneceu evidências de ataques contra pelo menos 45 aparelhos entre 2024 e 2025. Os registros mostraram uma sequência que ia da infraestrutura da Discover-Tech até servidores de validação da Candiru e depois aos servidores de comando do spyware. Os pesquisadores também recuperaram um arquivo DLL de um sistema Windows comprometido e atribuíram com alta confiança à Candiru.

O Citizen Lab também informa que, entre março e junho de 2026, a operação fez 3,77 bilhões de lances e venceu 442 milhões de leilões de anúncios. Anúncios com essas marcações maliciosas apareceram em 75.373 aplicativos Android e iOS e em 120.768 sites. Os pesquisadores ressaltam que esses números não são contagens de infecção, mas estimam que de centenas de milhares a milhões de usuários foram direcionados a esses domínios.

Depois dos relatórios, empresas de publicidade como Google, IAB Europe, Beeswax, Eskimi e Vungle removeram contas envolvidas e bloquearam domínios. Para o usuário comum, a lição é que até um anúncio aparentemente normal pode ser usado como porta de entrada. Manter o sistema e os aplicativos atualizados e seguir as orientações oficiais dos fabricantes continua sendo a principal forma de se proteger.