Le app gratuite non sono il problema: lo è l'SDK pubblicitario che si portano dentro

E se la cosa più pericolosa del tuo telefono non fosse un'app che hai installato, ma l'annuncio che un'app gratuita ti mostra per mezzo secondo? È la domanda scomoda dietro l'ultimo rapporto di Citizen Lab, e pensiamo che meriti più attenzione del solito consiglio di «stare attenti a cosa si tocca». Qui nessuno tocca niente.

Cos'è successo: un'azienda pubblicitaria che faceva da ponte per lo spyware

Il 15 ottobre i ricercatori di Citizen Lab, all'Università di Toronto, hanno pubblicato un rapporto su una tecnica che chiamano AdFection. La descrivono come la prima conferma tecnica pubblica di spyware mercenario zero-click veicolato tramite annunci mirati. L'azienda israeliana Discover-Tech, attraverso la sua piattaforma Controlium, avrebbe profilato e deanonimizzato gli utenti, per poi permettere ai venditori di spyware di infettare i bersagli scelti quando compariva un annuncio.

Secondo Wired, Citizen Lab ha concluso che 45 dispositivi di Al Jazeera sono stati presi di mira nel 2024 e nel 2025. Lo stesso rapporto afferma che, tra marzo e giugno di quest'anno, annunci collegati all'azienda, con script tag degli aggressori, sono comparsi in più di 70.000 app mobile.

Il problema è l'architettura, non un singolo cattivo attore

È facile archiviarla come la storia di un'azienda losca. La descrizione stessa di Citizen Lab indica il contrario. Un annuncio non è solo un'immagine: può portare con sé codice dell'inserzionista e di altri intermediari, e quel codice viene eseguito dentro l'app o il browser. Aggiungi le aste in tempo reale che condividono dati del dispositivo, e chiunque vinca l'offerta può rivolgersi allo schermo di una sola persona. Come ha detto il ricercatore Bill Marczak a Wired, finché questa architettura non cambia, o le aziende pubblicitarie non si impegnano davvero a verificare i clienti, continueremo a vedere abusi di questo tipo.

È il punto chiave per chi usa app gratuite. Ogni SDK pubblicitario è una porta che lo sviluppatore apre a terzi, e raramente controlla cosa ci passa. Un'app gratuita non deve essere malevola, né scritta male, per diventare il canale di consegna. A nostro avviso, «questa app è affidabile» non significa più nulla quando lo strato di monetizzazione è appaltato a un'asta.

I guardiani hanno fallito, e questo dovrebbe cambiare le regole

Il dettaglio più grave non è tecnico. Secondo Citizen Lab, Discover-Tech compariva negli elenchi di fornitori pubblicitari certificati e approvati tenuti da Google e IAB Europe dal 2020 al 2026. Il ricercatore Wolfie Christl ha definito disastroso che i grandi fornitori pubblicitari, a quanto pare, non siano riusciti a individuare né a impedire tutto questo per anni.

Per essere onesti, la reazione è stata rapida una volta emerse le prove. Google ha dichiarato a Wired di aver bloccato Discover-Tech sulle proprie piattaforme pubblicitarie, e IAB Europe l'ha sospesa dal proprio elenco di fornitori. Ma una pulizia dopo un rapporto pubblico non è un controllo. Crediamo che l'onere debba spostarsi: se una piattaforma permette a un fornitore di consegnare codice eseguibile a milioni di telefoni, verificare quel fornitore è un dovere di sicurezza, non una casella di marketing da spuntare. Le autorità di regolamentazione, come ha chiesto Christl, dovrebbero guardare al rischio sistemico e non solo a un nome.

Una precisazione ci tiene onesti. L'analista di cybersicurezza Eddy Willems ha detto ad Al Jazeera che eseguire codice in un browser non dà automaticamente il controllo completo di un dispositivo, perché l'aggressore può avere bisogno di una seconda vulnerabilità per uscire dalla sandbox. E la documentazione descrive un'operazione mirata, non un'infezione di massa di utenti comuni. Probabilmente la maggior parte dei lettori non è il bersaglio. Eppure la stessa filiera profila milioni di persone prima di sceglierne qualcuna.

Cosa fare

Per gli utenti le opzioni sono crude: Marczak osserva che non c'è molto da fare oltre a bloccare gli annunci nel modo più completo possibile su ogni sito e piattaforma. Il nostro consiglio: usa i blocchi dei contenuti dove puoi, tieni aggiornati sistema e browser e valuta di pagare per le app da cui dipendi di più, perché una versione senza pubblicità probabilmente riduce questa superficie d'attacco. Se sei giornalista, attivista o lavori nella pubblica amministrazione, considera il blocco degli annunci un'igiene di base, non paranoia.

Per le piattaforme il verdetto è più netto. Gli SDK pubblicitari andrebbero sottoposti ad audit e isolati in una sandbox come qualsiasi altro codice di terze parti, e la certificazione dei fornitori dovrebbe voler dire qualcosa. Le app «gratuite» non sono mai state davvero gratuite. Questo rapporto suggerisce che il conto può includere la sicurezza del tuo dispositivo.