Uma pesquisa realizada pelo grupo canadense de vigilância cibernética The Citizen Lab mostrou que os dispositivos de milhões de pessoas foram infectados com um software espião contratado israelense chamado Candiru por meio de publicidade digital que não requer clique do usuário.
O grupo relatou em um relatório publicado na quinta-feira que este é o primeiro exemplo publicamente confirmado do uso de software espião contratado com função zero-click, entregue através de publicidade segmentada. O software espião também foi direcionado a dispositivos associados à Al Jazeera Media Network.
De acordo com o relatório, a Discover-Tech, sediada em Israel e que se apresenta como uma agência de publicidade legítima, na verdade opera para parceiros envolvidos em software espião contratado israelense, como o Candiru. Esta empresa veiculava publicidade segmentada que induzia milhões de dispositivos em dezenas de países a se conectarem aos servidores do Candiru para fins de vigilância e inteligência.
O The Citizen Lab determinou que, durante 2024 e 2025, em uma série de ataques usando publicidade zero-click adquirida pela Discover-Tech, pelo menos 45 dispositivos da Al Jazeera foram afetados.
A Discover-Tech gerencia uma plataforma chamada Controlium, que permite que os 'parceiros contratados desanonimizem, criem impressões e infectem automaticamente dispositivos' logo após a exibição do anúncio, mesmo que o usuário alvo não clique.
Durante um período de quatro meses, os anúncios da Discover-Tech foram exibidos em quase 200.000 sites exclusivos e aplicativos para Android e iOS em vários países.
Além do Candiru, que foi renomeado para Integrity Labs, a Discover-Tech também está ligada a outros atores de software espião contratado, incluindo Intelos e Bindecy.
Em 2021, o Candiru foi colocado na lista negra pelo governo dos EUA por 'atividade contrária aos interesses de segurança nacional ou política externa dos Estados Unidos'. A renomeação do Candiru ocorreu depois que, em 2025, ele foi adquirido pela firma de investimento privada americana Integrity Partners, que não está sob sanções dos EUA.
A Discover-Tech figurava como fornecedora 'certificada e aprovada', trabalhando com o Google e a associação da indústria de publicidade IAB Europe, e veiculava anúncios em grandes redes, incluindo Google, o mecanismo de busca russo Yandex e a plataforma Beeswax.
Wolfie Cristl, pesquisador sênior do The Citizen Lab, declarou à Reuters: 'A forma como a publicidade online funciona hoje representa uma ameaça sistêmica à segurança' — e isso se aplica a governos, setor privado, sociedade civil e todos os outros.
Jerome Dangu, cofundador da empresa de segurança de publicidade de Nova York Confiant, que também publicou um relatório separado sobre o caso na quinta-feira, observou que a Discover-Tech exibia diariamente pelo menos 10 milhões de anúncios em todo o mundo, e os acordos de troca de dados, conhecidos como correspondência de cookies, permitiam que ela rastreasse pessoas mesmo fora do alcance de seus anúncios.
Dangu especulou: 'Provavelmente, centenas de milhões de pessoas foram afetadas pela Discover-Tech.'
A empresa israelense de espionagem NSO Group também foi adicionada à lista negra comercial dos EUA junto com o Candiru em novembro de 2021, depois que os EUA concluíram que governos estrangeiros estavam adquirindo seu software espião e o usavam para monitorar funcionários do governo, jornalistas e outras pessoas.
O Candiru também foi usado para mirar no Middle East Eye e outros sites em novembro de 2021. O ataque detectado pela empresa de segurança online ESET visava o site MEE durante dois dias em abril de 2020. Essa campanha atingiu mais 20 sites em duas ondas: abril-julho de 2020 e janeiro-agosto de 2021.
A ESET informou que o objetivo era 'conexões com o Oriente Médio e um forte foco no Iêmen e no conflito circundante'. Após as conclusões de dois grupos de pesquisa, Google, IAB Europe, Beeswax e outras plataformas desligaram o acesso da Discover-Tech ao mercado de publicidade digital desde então.