Anúncios maliciosos conseguem instalar spyware em celulares sem nenhum clique

Um simples anúncio exibido na tela do celular pode ser suficiente para comprometer a segurança do dispositivo, mesmo que o usuário não clique em absolutamente nada.

Uma nova investigação revelou como empresas especializadas em vigilância utilizaram o sistema de publicidade da internet para distribuir programas espiões capazes de infectar aparelhos de maneira silenciosa.

A descoberta foi divulgada em 15 de outubro de 2026 pelo Citizen Lab.

Os pesquisadores identificaram uma campanha chamada AdFection , que explorava anúncios direcionados para entregar spyware a dispositivos selecionados, sem exigir qualquer interação das vítimas.

Segundo a investigação, a operação envolveu a empresa israelense Discover-Tech , que atuava como intermediária entre plataformas de publicidade e fornecedores de ferramentas de espionagem.

Um dos casos confirmados envolveu pelo menos 45 dispositivos da rede de notícias Al Jazeera, atacados entre 2024 e 2025.

Os pesquisadores classificaram a descoberta como a primeira comprovação técnica pública de que anúncios direcionados foram utilizados para distribuir spyware comercial por meio de ataques conhecidos como zero-click.

Como os anúncios conseguem infectar celulares sem nenhum clique? Normalmente, ataques envolvendo anúncios maliciosos tentam convencer a vítima a acessar um link, baixar um arquivo ou instalar um aplicativo.

No entanto, o método identificado pelo Citizen Lab funciona de maneira diferente.

A técnica utiliza o próprio mecanismo de publicidade presente em sites e aplicativos.

Quando uma pessoa abre uma página ou utiliza um aplicativo com anúncios, sistemas automatizados realizam leilões em tempo real para determinar qual publicidade será exibida.

Nesse processo, anunciantes podem receber informações como endereço IP, identificadores de publicidade e características do dispositivo, permitindo direcionar anúncios a usuários específicos.

A Discover-Tech explorava essa infraestrutura por meio de uma plataforma chamada Controlium .

Os anúncios continham códigos capazes de estabelecer comunicação com servidores externos assim que eram carregados.