Annunci mirati hanno installato spyware zero-click su giornalisti

Citizen Lab conferma: annunci mirati hanno installato spyware mercenario con exploit zero-click su iOS e Android, senza alcuna azione dell’utente¹.

L’indagine, pubblicata giovedì, documenta una campagna battezzata AdFection. L’infezione partiva quando la vittima caricava un sito o apriva un’app già presente sul dispositivo. Nessun clic, nessuna interazione, nessun avviso visibile. Il vettore non erano link ingannevoli, ma la pubblicità online indirizzata a individui specifici¹.

I ricercatori parlano della prima conferma di spyware mercenario a capacità zero-click distribuito tramite annunci mirati. Non è una deduzione, ma un caso tracciato in dettaglio, con catena di consegna e impatto osservati in ambiente reale¹.

Il bersaglio principale individuato nell’inchiesta è Al Jazeera. Nel 2024 e nel 2025 Citizen Lab ha confermato la compromissione di 45 dispositivi all’interno dell’organizzazione mediatica internazionale. La cifra riflette i casi verificati con analisi forense, non una stima complessiva delle vittime¹.

La tecnica riduce al minimo le tracce. Senza hardware o software forensi specializzati è difficile notare l’attacco. Un utente, anche esperto, può non vedere nulla di anomalo. La compromissione resta silente e persistente fino a una verifica tecnica mirata¹.

L’avvertimento è esplicito. “Questa indagine dovrebbe … servire come un chiaro segnale di allarme per le organizzazioni di news nel mondo, che potrebbero essere attivamente prese di mira tramite questa nuova minaccia”, scrivono i ricercatori. L’allerta riguarda “giornalisti, editor e altri membri dello staff” tanto quanto le redazioni nel loro complesso¹.

AdFection mostra che un canale progettato per il targeting, come l’advertising, può diventare un vettore per exploit zero-click. L’abbinata tra distribuzione mirata e assenza di interazione allarga la superficie d’attacco. Espone chi lavora in contesti sensibili durante attività ordinarie, come la navigazione o l’uso di app supportate dalla pubblicità¹.

Il risultato sposta il perimetro della difesa per il settore dell’informazione. Non basta evitare link sospetti o allegati malevoli se l’exploit arriva insieme a un annuncio su una pagina legittima. La scoperta, definita “prima conferma” di questo metodo per spyware mercenario, chiama in causa i canali pubblicitari che alimentano siti e applicazioni come parte del rischio operativo¹.

Chiusura pratica: la difficoltà di rilevare l’infezione senza strumenti dedicati rende centrale la verifica tecnica indipendente. Citizen Lab descrive metodologia e prove a supporto nel report. Le redazioni e i singoli citati nell’avviso possono usare queste informazioni per valutare esposizione e priorità di risposta, a partire dall’ipotesi che l’attacco non lasci segnali visibili all’utente¹.