L'annuncio che ti hackera solo se sei tu

Ho una tesi, e nessuno dei documenti che ho letto la dice così: la pubblicità mirata non è il mezzo con cui lo spyware arriva, è il mirino. L'exploit è un'altra cosa. Quello che l'industria dell'adtech ha costruito in vent'anni, e che ora vende a chiunque abbia un account, è la parte più difficile del lavoro: sapere chi sei, dove sei e a quale schermo spedire cosa.

Cosa ha trovato Citizen Lab

Il 15 ottobre 2026 Citizen Lab ha pubblicato quella che chiama la prima conferma tecnica pubblica di spyware mercenario zero-click consegnato tramite pubblicità mirata. Il metodo si chiama AdFection. Il bersaglio: almeno 45 computer Windows di Al Jazeera, colpiti nel 2024 e 2025 con lo spyware Candiru. Chi sia il governo dietro, il rapporto non lo dice.

Il meccanismo è elegante in un modo che dà fastidio. L'annuncio non contiene nessun codice d'attacco, quindi non c'è niente che le reti pubblicitarie possano rilevare e bloccare. Quando si carica, manda a un server l'ID pubblicitario del dispositivo e l'indirizzo IP. Il server controlla se sei nella lista. Se non ci sei, non risponde nulla. Se ci sei, risponde con l'attacco.

L'annuncio è innocuo per tutti, tranne che per la persona per cui è stato comprato.

Dietro c'è Discover-Tech, azienda israeliana con una piattaforma chiamata Controlium, che secondo Citizen Lab fa da ponte tra i venditori di pubblicità e l'ecosistema dello spyware mercenario. Tra i clienti figurano Candiru e Bindecy.

I numeri, che sono la parte che non fa dormire

Tra marzo e giugno 2026, su una sola piattaforma, Discover-Tech ha piazzato quasi 4 miliardi di offerte pubblicitarie. Gli annunci con il codice di richiamo sono comparsi in circa 75.000 app e 120.000 siti. Confiant, società americana di sicurezza degli annunci che ha collaborato con Citizen Lab, stima circa 10 milioni di annunci al giorno.

Sono comparsi anche su reti usate da governi, infrastrutture critiche, agenzie cyber nazionali. Qui serve onestà: mostrare un annuncio non significa aver infettato qualcuno, e Confiant dice che quelli collegabili direttamente a Candiru erano pochi e raggiungevano soprattutto connessioni domestiche e mobili. Ma il punto non è quanti sono stati colpiti. Il punto è che il bersaglio lo sceglie un database di offerte pubblicitarie, e quel database ha miliardi di righe.

C'è poi il dettaglio da commedia nera. Google e IAB Europe avevano in elenco Discover-Tech come fornitore approvato dal 2020 a ottobre 2026. Dopo il rapporto Google l'ha tolta "per violazione sistematica delle nostre policy". Sei anni di approvazione, una settimana per scoprire la violazione sistematica.

Il parallelo che mi interessa

Candiru, per chi tiene il conto, era già nella lista nera commerciale americana dal 2021. Nel 2025 i suoi asset sono stati comprati da un fondo statunitense e trasferiti in una nuova società. Cambia il nome sulla porta, resta l'inquilino. L'adtech ha lo stesso vizio: se non possiedi la catena, nessuno ti chiede conto di cosa passa nelle sue maglie. Una rete pubblicitaria vende spazio, il vendor compra spazio, l'intermediario non vede il contenuto. Ognuno ha un alibi perfetto e nessuno ha la responsabilità.

Bill Marczak, ricercatore di Citizen Lab, ha detto che Discover-Tech è "sicuramente solo la punta dell'iceberg". Aggiungo il corollario: finché esiste un mercato in cui comprare l'attenzione di una persona specifica ha un prezzo, quel mercato servirà anche chi non vuole venderle detersivo.

Cosa fare, senza diventare monaci

Il consiglio dello stesso Marczak è quasi sovversivo nella sua semplicità: è il momento di disattivare il tracciamento pubblicitario sui tuoi dispositivi. Non ti protegge da tutto, e se sei un giornalista di Al Jazeera con un governo dietro non basta. Ma toglie il mirino: se l'annuncio non trova un ID da spedire al server, il server non ha nulla da decidere.

Su iPhone si spegne "Consenti alle app di richiedere il tracciamento". Su Android si cancella l'ID pubblicitario dalle impostazioni privacy. Un ad blocker a livello di rete aiuta. È igiene, non eroismo.

La domanda vera, quella che resta, è un'altra. Se per consegnare l'attacco bastano gli stessi strumenti con cui ti seguono le scarpe dopo che le hai guardate una volta, cosa vuol dire chiamare "sorveglianza di stato" un mercato aperto a chiunque abbia una carta di credito?