Uma empresa israelita de publicidade digital, já acusada de servir de canal para spyware mercenário, terá concentrado as suas compras de anúncios no tráfego da internet por satélite Starlink, da SpaceX, em mais de uma centena de países. Os investigadores acreditam que o objetivo não era vender produtos, mas sim localizar e vigiar quem usa o serviço. A análise técnica é da TrendAI, unidade de investigação da Trend Micro, que identificou o comprador apenas pelo nome de código SHADOW-EARTH-79. A Reuters noticiou, com base em seis pessoas conhecedoras da investigação, que SHADOW-EARTH-79 era o nome de código interno da TrendAI para a Discover-Tech.
Resposta rápida: Segundo a TrendAI, um comprador de publicidade foi o licitador vencedor em leilões de anúncios associados à Starlink em 105 países, com um padrão que parece mais de vigilância do que de marketing. A Reuters identifica esse comprador como a Discover-Tech, já ligada pelo Citizen Lab à entrega do spyware Candiru. Não há provas públicas de que utilizadores da Starlink tenham sido infetados. Organizações com equipas em zonas sensíveis devem rever a exposição à publicidade programática, bloquear os domínios conhecidos e limitar os identificadores publicitários nos dispositivos.
O que a TrendAI encontrou
O relatório «Invasive Ads: The Unconventional Cyber Surveillance Attack Surface», publicado a 15 de outubro, descreve uma entidade que abusa do processo de licitação em tempo real da publicidade digital para seguir e criar perfis de pessoas em zonas de conflito, Estados sujeitos a sanções e outros locais sensíveis. Este mecanismo é conhecido como real-time bidding (RTB): sempre que uma página ou aplicação carrega, é lançado em milissegundos um leilão pelo espaço publicitário. O pedido de licitação transporta dados sobre o dispositivo, como o endereço IP, o tipo de equipamento e os identificadores publicitários.
O mais invulgar é a proporção. O SHADOW-EARTH-79 ganhou 12,9% das licitações no tráfego Starlink observado, contra 2,6% no conjunto do tráfego, e ficou em primeiro lugar no tráfego Starlink em 105 países, incluindo vários onde o serviço está proibido ou restringido. Considerando todo o tráfego, e não só o da Starlink, é o licitador vencedor número um em 49 países e, em vários casos, fica com uma fatia implausivelmente dominante das licitações, incompatível com uma compra publicitária competitiva normal.
A geografia reforça as suspeitas. O relatório indica que o comprador foi o maior comprador de anúncios na Síria, na Líbia, no Iémen e no Sudão do Sul, mercados com pouca procura legítima de publicidade ocidental. Na Hungria e em Israel, a quota ultrapassa os 90%, e no Egito, Azerbaijão, Venezuela e Catar fica entre 61% e 78%. A TrendAI concluiu, com confiança moderada a elevada, que o padrão aponta para uma infraestrutura de seleção de alvos e seguimento, e não para uma operação publicitária comercial.
Um nome de código em vez de um nome de empresa
A TrendAI não identificou publicamente o comprador. De acordo com a Reuters, os investigadores estavam convencidos de que se tratava da Discover-Tech e ponderaram nomeá-la, mas cinco das seis fontes disseram que a ideia caiu depois de executivos da TrendAI levantarem questões jurídicas. Questionada sobre o assunto, a empresa explicou que a sua forma de atribuir autorias procura reduzir o risco de erro e evitar «nomes de atores instáveis que possam induzir em erro os defensores». A Discover-Tech e o seu presidente executivo não responderam a pedidos de comentário durante duas semanas.
Importa sublinhar os limites destas conclusões: os investigadores não confirmaram publicamente infeções de dispositivos Starlink. A própria TrendAI avisa que a geolocalização por endereço IP nem sempre é precisa, embora tenha cruzado os resultados com os dados de localização de rede que a Starlink publica. Ter um anúncio exibido não equivale a ter o dispositivo comprometido.
Porque é que a Discover-Tech já estava sob suspeita
No mesmo dia em que saiu o relatório da TrendAI, o Citizen Lab, da Universidade de Toronto, publicou a investigação «Exposing AdFection». O documento descreve uma série de ataques zero-click contra a cadeia de televisão Al Jazeera em 2024 e 2025, ligados com elevada confiança ao spyware da Candiru entregue através de anúncios da Discover-Tech, com pelo menos 45 dispositivos visados. A Candiru, que entretanto mudou de nome para Integrity Labs, foi colocada na lista negra do Departamento do Comércio dos EUA em 2021.
O método, a que os investigadores chamaram AdFection, dispensa qualquer clique por parte do utilizador. Os anúncios continham código que contactava os servidores da empresa quando eram exibidos e enviava informação sobre o dispositivo. Se o dispositivo fosse selecionado, os servidores podiam devolver código para explorar vulnerabilidades e instalar spyware, tudo sem interação do utilizador. Nos registos de rede cedidos pela Al Jazeera, os dispositivos infetados contactam primeiro domínios da infraestrutura da Discover-Tech, o que indica a exibição de um anúncio, e depois ligam-se a um servidor validador da Candiru.
A empresa de segurança publicitária Confiant publicou uma análise paralela que descreve a utilização da infraestrutura publicitária como arma para preparação avançada, seleção preliminar de alvos e entrega de cargas maliciosas. A Confiant admite não ter capturado uma cadeia de exploração completa em ambiente real. Segundo o Citizen Lab, os anúncios da Discover-Tech surgiram em mais de 120 mil sites e em dezenas de milhares de aplicações durante quatro meses de 2026.
Cronologia
| Data | Acontecimento |
|---|---|
| 2 de julho de 2020 | A Discover-Tech entra na Global Vendor List do TCF da IAB Europe (ID de fornecedor 778) |
| 2024–2025 | Ataques zero-click a pelo menos 45 dispositivos da Al Jazeera, segundo o Citizen Lab |
| Primeira semana de outubro de 2026 | A Google retira a Discover-Tech dos registos de fornecedores e corta o acesso às suas plataformas de troca publicitária |
| 8 de outubro de 2026 | A IAB Europe suspende a Discover-Tech da Global Vendor List |
| 15 de outubro de 2026 | Citizen Lab, Confiant e TrendAI publicam as respetivas investigações |
| 27 de outubro de 2026 | A Reuters liga o nome de código SHADOW-EARTH-79 à Discover-Tech |
Num comunicado de 15 de outubro, a IAB Europe confirmou que a Discover-Tech está suspensa da lista após uma auditoria que detetou violações das políticas do TCF. Antes disso, segundo o Citizen Lab, a Google cortou o acesso da empresa às suas plataformas de troca publicitária e ativou proteções do Safe Browsing para domínios associados à operação.
Indicadores e domínios referidos pelos investigadores
A TrendAI disponibiliza o acompanhamento da infraestrutura do SHADOW-EARTH-79 na sua plataforma comercial e partilha mais detalhes em comunidades de confiança do setor. Os relatórios públicos referem os seguintes domínios, que podem servir para pesquisa em registos de DNS e proxies:
| Indicador | Contexto | Fonte |
|---|---|---|
tracookiepixel[.]xyz | Domínio de sincronização de cookies associado à Discover-Tech, entretanto desativado | Confiant |
cookie-sync[.]xyz | Domínio associado que não parecia estar em uso ativo durante o período observado | Confiant |
mtrtb[.]com | Atribuído à Discover-Tech na lista de fornecedores de personalização de anúncios da Google, segundo o Citizen Lab | Citizen Lab |
mydsp[.]io | Atribuído à Discover-Tech na mesma lista da Google | Citizen Lab |
O que podem fazer utilizadores e organizações
Não existe nenhuma vulnerabilidade com identificador CVE para corrigir, porque o problema está no funcionamento do ecossistema publicitário. Ainda assim, há medidas que reduzem a exposição:
- Bloquear os domínios acima na filtragem DNS ou no proxy corporativo e procurar ligações históricas nos registos.
- Em redes empresariais, sobretudo de jornalistas, ONG, diplomatas e equipas em zonas de conflito, aplicar bloqueio de publicidade e rastreadores ao nível da rede ou do navegador.
- Desativar ou repor com regularidade o identificador publicitário (
AAIDno Android,IDFAno iOS) e recusar o rastreio entre aplicações. - Manter sistemas operativos e navegadores atualizados, dado que a entrega zero-click depende da exploração de falhas.
- Para editores e gestores de sites, rever os parceiros de procura e a lista de fornecedores na plataforma de gestão de consentimento.
Porque é que isto importa em Portugal
O caso mostra que a publicidade programática, presente em quase todos os sites e aplicações usados em Portugal, pode transformar-se num canal de recolha de informações e de entrega de malware. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de riscos da cadeia de fornecimento deve incluir fornecedores de tecnologia publicitária e scripts de terceiros. Incidentes significativos devem ser notificados ao CNCS/CERT.PT.
Há também uma dimensão de proteção de dados. A Confiant afirma que foram recolhidos dados de utilizadores europeus mesmo quando as regras de privacidade da União Europeia exigiam consentimento. Os responsáveis pelo tratamento, como editores de sites e anunciantes, podem ter obrigações ao abrigo do RGPD relativamente aos parceiros a quem passam dados, matéria fiscalizada em Portugal pela CNPD. Para os cidadãos, fica o aviso de que um anúncio aparentemente banal pode revelar mais do que parece, mesmo sem nenhum clique.
Perguntas frequentes
Os utilizadores da Starlink foram infetados com spyware?
Não há confirmação pública disso. A TrendAI detetou um padrão anómalo de licitações em anúncios no tráfego Starlink, compatível com seguimento e localização. A ligação a spyware vem de outra investigação, do Citizen Lab, sobre ataques à Al Jazeera.
Como é que um anúncio pode revelar a localização de alguém?
Nos leilões de publicidade em tempo real, cada pedido de licitação transporta dados como o endereço IP, o tipo de dispositivo e identificadores publicitários. Quem licita recebe esses dados mesmo sem ganhar, e ao cruzá-los ao longo do tempo pode localizar e seguir pessoas.
Quem é a Discover-Tech?
É uma empresa israelita de tecnologia publicitária. O Citizen Lab e a Confiant acusam-na de ter servido de canal para o spyware da Candiru. A Google e a IAB Europe cortaram-lhe o acesso em outubro de 2026, e a empresa não respondeu aos pedidos de comentário.
O que pode uma organização portuguesa fazer de imediato?
Bloquear os domínios associados na filtragem DNS, procurar ligações históricas nos registos, aplicar bloqueio de publicidade em equipas expostas, manter os dispositivos atualizados e rever os fornecedores de tecnologia publicitária no âmbito da gestão de risco da cadeia de fornecimento.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela TrendAI (Trend Micro), pelo Citizen Lab, pela Confiant e pela IAB Europe, e em informação noticiada pela Reuters.