Podem está espionando você nesse momento. Anúncio que infecta o celular: o spyware "sem clique" que o Citizen Lab expôs

Thumbnail do vídeo Qualquer um pode espionar seu celular!

Link do vídeo: https://www.youtube.com/watch?v=xpGA9lAHhJI

Eu cresci ouvindo a mesma regra: não clique em link estranho e você estará seguro. Ela ainda vale ? A pesquisa publicada pelo Citizen Lab em 15 de outubro de 2026 mostra que ela já não basta. Dessa vez, o ataque não exigia clique. Bastava o anúncio aparecer na tela.

O que foi descoberto

Segundo o relatório, dispositivos de funcionários da Al Jazeera foram alvo de ataques entre 2024 e 2025, com o spyware Candiru entregue por anúncios direcionados. Os pesquisadores chamaram a técnica de AdFection.

O intermediário era a Discover-Tech, empresa israelense que se apresenta como agência de publicidade comum. Segundo o Citizen Lab, a plataforma dela, chamada Controlium, permitia a parceiros de espionagem identificar, reconhecer e infectar aparelhos no momento em que um anúncio era exibido.

Como o ataque escolhe o alvo

O servidor de anúncios não manda código malicioso para qualquer visitante. Ele verifica critérios sobre o aparelho e só responde com o código se a vítima for um alvo escolhido. Para os outros, a resposta é vazia.

É por isso que o ataque é tão difícil de detectar em massa. Os pesquisadores conseguiram rastrear os aparelhos pelos registros de rede: primeiro o contato com a infraestrutura da Discover-Tech, depois um servidor validador do Candiru e, por fim, um servidor de comando e controle.

Os números de alcance precisam ser lidos com cuidado. A MyDSP, parte dessa cadeia, deu lances em cerca de 3,77 bilhões de impressões e ganhou cerca de 442 milhões. O relatório identifica anúncios com o script do atacante em 120.768 sites e 75.373 aplicativos. Ver um anúncio não significa que o aparelho foi comprometido, e o próprio Citizen Lab diz isso.

Quem está na mira

A maioria das pessoas não é alvo de uma operação dessas, que é cara e direcionada. Mas o alvo nem sempre é quem fez algo errado. Basta ser percebido como parte de um grupo. Os mais expostos são jornalistas, ativistas, figuras públicas, empresários e quem lida com informação sensível.

Pegasus e o caso brasileiro

O Pegasus, do grupo israelense NSO, ficou conhecido por espionar jornalistas, políticos, advogados e ativistas em vários países. Ele se instala no celular sem clique e foi vendido a agências governamentais.

No Brasil, em 2021, o Ministério da Justiça abriu a licitação 03/21, de R$ 25,4 milhões, para um sistema de busca e consulta de dados que reportagens associaram ao Pegasus. Segundo o UOL, o vereador carioca Carlos Bolsonaro, filho do então ex-presidente-presidiário, teria interferido no processo para expandir uma estrutura paralela à Abin. Essa é uma acusação feita em reportagens com fontes anônimas. Não houve condenação, e eu não tenho como confirmar os detalhes além do que foi publicado. A NSO chegou a aparecer no pregão e depois desistiu, em maio de 2021. Fontes diferentes dão motivos distintos, e o contrato não foi assinado.

Em 20 de outubro de 2023, a Polícia Federal deflagrou a Operação Última Milha, com autorização do STF, contra agentes da Abin. Foram 25 mandados de busca em cinco estados, duas prisões e o afastamento de outros três servidores. A investigação apurou o uso do FirstMile, sistema da empresa israelense Cognyte que rastreia celulares por meio de antenas de telefonia. O delegado-geral da PF, Andrei Rodrigues, estimou que o grupo espionou cerca de 30 mil pessoas sem autorização judicial. A Abin afirmou ter aberto investigação interna e suspendido os envolvidos.

Minha leitura: esses casos mostram que o problema não é só o criminoso comum com um app pirata. Quando governos compram esse tipo de ferramenta, a fiscalização passa a depender de quem está no poder, e isso é um risco para qualquer democracia. Eu acredito que o debate precisa sair do "quem está sendo espionado" e chegar ao "quem pode comprar espionagem, e com que controle". Essa é a minha opinião, e ela pode ser discutida.

O que dá para fazer

Não existe proteção de 100%, mas dá para reduzir bastante a exposição:

Mantenha o sistema e os apps atualizados. Muitas falhas exploradas por spyware são corrigidas em atualizações.
Escolha apps com menos coleta de dados. O WhatsApp criptografa o conteúdo, mas a Meta ainda acessa metadados, como quem fala com quem, por quanto tempo e de onde. O Signal é de código aberto e coleta bem menos informação.
Em alto risco, considere sistemas mais endurecidos. O GrapheneOS é um Android com mais recursos de segurança. Exige conhecimento técnico e pode não ter todos os serviços do Google.
Quem lida com informação sensível deve ter apoio especializado. Redação, organização de direitos humanos e equipe de ativismo podem contar com um consultor de segurança digital.

Prompt para seu agente pessoal:

Quero verificar se há sinais de spyware ou acesso indevido nos meus próprios aparelhos. Regras:

- Investigue só os dispositivos da lista abaixo, todos meus. Varra apenas a minha rede local.
- Somente leitura: não instale, apague, altere configurações nem desative serviços sem me perguntar antes.
- Não tente quebrar senhas nem acessar contas, arquivos privados ou aparelhos de outras pessoas.
- No Android, só use ADB se eu já tiver ativado a depuração USB. Se não, me diga o que conferir nas configurações.
- Se precisar de uma senha ou permissão que eu não dei, pare e me pergunte.

Procure sinais comuns: processos que eu não reconheço, conexões de saída suspeitas, acessos remotos ativos, tarefas agendadas e programas de inicialização estranhos.

Dispositivos para investigar (preencha):
- [ ] Este computador
- [ ] Celular: modelo __________ IP (se souber) __________
- [ ] Tablet: modelo __________ IP (se souber) __________
- [ ] Outro: __________

No fim, me entregue um relatório com o que encontrou, a evidência (processo, porta ou arquivo), o risco (baixo, médio ou alto) e as decisões que eu preciso tomar.

E o resto da cadeia?

Depois da pesquisa, o Google removeu a Discover-Tech de suas plataformas de anúncios. Segundo as coberturas da pesquisa, o IAB Europe a suspendeu da lista global de fornecedores, e a Beeswax, da Comcast, também cortou relações com ela. Não consegui verificar essas duas últimas medidas direto nas comunicações das empresas, então trate-as como relatos.

Para você: a segurança do seu celular não depende só de você. Depende de quem vende o anúncio, de quem compra o espaço e de quem fiscaliza os dois. Enquanto isso não mudar, a regra de não clicar em link estranho vai continuar sendo necessária, mas já não é suficiente. Se você lida com informação sensível, não espere a próxima pesquisa para revisar seu aparelho. Revise hoje.

Crom: https://crom.run

Fontes:

Ps: Se um dia eu parar de publicar ou falar sobre o que sempre reintero sobre filosofia tecnologica, soberania pessoal e digital brasileira. Fui jogar no Vasco K k j.