Seus aplicativos gratuitos não são o problema: o SDK de anúncios dentro deles é

E se a coisa mais perigosa do seu celular não for um aplicativo que você instalou, mas o anúncio que um app gratuito mostra por meio segundo? Essa é a pergunta incômoda por trás do mais recente relatório do Citizen Lab, e achamos que ela merece mais atenção do que o conselho de sempre: "cuidado com o que você clica". Aqui, ninguém clica em nada.

O que aconteceu: uma empresa de publicidade que funcionava como ponte para spyware

Em 15 de outubro, pesquisadores do Citizen Lab, da Universidade de Toronto, publicaram um relatório sobre uma técnica que chamam de AdFection. Eles a descrevem como a primeira confirmação técnica pública de spyware mercenário zero-click entregue por anúncios direcionados. A empresa israelense Discover-Tech, por meio de sua plataforma Controlium, teria traçado perfis e desanonimizado usuários e, depois, permitido que fornecedores de spyware infectassem alvos escolhidos quando um anúncio aparecia.

Segundo a Wired, o Citizen Lab concluiu que 45 dispositivos da Al Jazeera foram alvo em 2024 e 2025. O mesmo relatório diz que anúncios ligados à empresa, com tags de script dos atacantes, apareceram em mais de 70 mil aplicativos para celular entre março e junho deste ano.

O problema é a arquitetura, não um único agente mal-intencionado

É tentador arquivar isso como a história de uma empresa duvidosa. A própria descrição do Citizen Lab aponta no sentido contrário. Um anúncio não é só uma imagem: pode carregar código do anunciante e de outros intermediários, e esse código roda dentro do app ou do navegador. Some a isso leilões em tempo real que compartilham dados do dispositivo, e quem ganha o lance pode mirar a tela de uma única pessoa. Como disse o pesquisador Bill Marczak à Wired, enquanto essa arquitetura não mudar, ou as empresas de publicidade não levarem a sério a verificação de clientes, esse tipo de abuso continuará aparecendo.

Esse é o ponto central para quem usa aplicativos gratuitos. Cada SDK de anúncios é uma porta que o desenvolvedor abre para terceiros, e ele raramente controla o que passa por ela. Um app gratuito não precisa ser malicioso nem mal programado para virar o caminho de entrega. Na nossa opinião, "este app é confiável" deixou de significar algo quando a camada de monetização é terceirizada para um leilão.

Os guardiões falharam, e isso deveria mudar as regras

O detalhe mais grave não é técnico. O Citizen Lab afirma que a Discover-Tech apareceu em listas de fornecedores de publicidade certificados e aprovados mantidas por Google e IAB Europe de 2020 a 2026. O pesquisador Wolfie Christl classificou como desastroso o fato de grandes fornecedores de publicidade, aparentemente, não terem conseguido detectar nem impedir isso por anos.

Para ser justo, a reação foi rápida assim que as evidências vieram à tona. O Google disse à Wired que bloqueou a Discover-Tech em suas plataformas de anúncios, e a IAB Europe a suspendeu de sua lista de fornecedores. Mas uma limpeza depois de um relatório público não é controle. Achamos que o ônus deveria mudar de lado: se uma plataforma deixa um fornecedor entregar código executável a milhões de celulares, verificar esse fornecedor é um dever de segurança, não uma caixinha de marketing. Os reguladores, como pediu Christl, deveriam olhar o risco sistêmico e não apenas um nome.

Uma ressalva mantém a análise honesta. O analista de cibersegurança Eddy Willems disse à Al Jazeera que executar código em um navegador não dá automaticamente controle total de um dispositivo, porque o atacante pode precisar de uma segunda vulnerabilidade para escapar do sandbox. E a documentação descreve uma operação direcionada, não uma infecção em massa de usuários comuns. A maioria dos leitores provavelmente não é o alvo aqui. Ainda assim, o mesmo fluxo traça o perfil de milhões de pessoas antes de escolher algumas.

O que fazer

Para os usuários, as opções são diretas: Marczak observa que há pouco a fazer além de bloquear anúncios da forma mais completa possível em todos os sites e plataformas. Nossa recomendação: use bloqueadores de conteúdo sempre que puder, mantenha o sistema e o navegador atualizados e considere pagar pelos aplicativos de que você mais depende, já que uma versão sem anúncios provavelmente reduz essa superfície de ataque. Se você é jornalista, ativista ou trabalha no governo, trate o bloqueio de anúncios como higiene básica, não como paranoia.

Para as plataformas, o veredito é mais claro. SDKs de anúncios devem ser auditados e isolados em sandbox como qualquer outro código de terceiros, e a certificação de fornecedores precisa significar alguma coisa. Aplicativos "gratuitos" nunca foram realmente gratuitos. Este relatório sugere que a conta pode incluir a segurança do seu dispositivo.