Voltar
Material gratuito

Anúncio que instala espião: como se proteger e como checar rastros

O que o Citizen Lab confirmou sobre o AdFection, a lista de proteção que vale para qualquer pessoa e o passo a passo para checar rastros de espiões com o Zero Breach Toolkit.

7 min de leitura
Anúncio que instala espião: como se proteger e como checar rastros

O que você vai aprender

Em 15 de outubro de 2026, o Citizen Lab, laboratório da Universidade de Toronto que investiga espionagem digital, publicou o que chamou de a primeira confirmação técnica pública de um ataque de espião "zero clique" entregue por anúncio direcionado. O caso recebeu o nome de AdFection. Zero clique quer dizer que a vítima não precisa tocar em nada: basta o anúncio ser exibido.

Segundo o relatório, uma empresa israelense de publicidade, a Discover-Tech, usou o leilão de anúncios em tempo real para entregar o espião Candiru. Em 2024 e 2025, pelo menos 45 aparelhos da Al Jazeera foram alvo, de acordo com o Committee to Protect Journalists (CPJ).

O alvo foi jornalista, não gente comum. Mas a porta de entrada é a propaganda que aparece para qualquer pessoa. Este guia explica o que aconteceu sem alarme, traz a lista de proteção que vale para todo mundo e o passo a passo para checar rastros de espiões conhecidos no seu computador e no celular.

O que o relatório mostra

Quando você abre um site ou app com anúncios, em menos de um segundo acontece um leilão: o seu aparelho avisa que tem um espaço de anúncio livre e empresas disputam o espaço. É o leilão em tempo real, a base da publicidade na internet.

Segundo o Citizen Lab, o anúncio da Discover-Tech trazia um script que consultava um servidor da empresa. O servidor olhava o endereço de IP e os identificadores de publicidade do aparelho. Só quando o aparelho era um alvo escolhido, devolvia o código de ataque. Para todos os outros, a resposta vinha vazia. Isso ajuda a empresa a não ser pega pelas plataformas que exibem os anúncios.

O relatório analisou quatro bilhões de registros de lances em quatro meses, e os anúncios apareceram em quase 200 mil sites e apps em dezenas de países. O Google e a IAB Europe removeram a Discover-Tech de seus registros no início de outubro de 2026.

O CPJ faz uma ressalva: exibir um anúncio, sozinho, não confirma ataque de espião, e o relatório não nomeia governo nem cliente.

O que este guia não promete: que gente comum seja alvo provável (os alvos documentados foram jornalistas), que alguma ferramenta prove que o aparelho está seguro, ou que alguma ferramenta remova o espião. A ferramenta citada só procura rastros.

Lista de proteção

Estas são medidas de higiene digital. Nenhuma garante proteção total, mas reduzem a superfície de ataque, e o Citizen Lab destaca o bloqueio de anúncios.

  1. Atualize o navegador e o sistema operacional (Windows, macOS, Android, iOS). Ataques desse tipo exploram falhas; atualização fecha falhas conhecidas. Ative a atualização automática.
  2. Use um bloqueador de anúncios confiável no navegador. É a recomendação direta do Citizen Lab para reduzir rastreamento.
  3. Considere um navegador que bloqueia rastreamento e coleta de dados.
  4. Reinicie periodicamente o ID de publicidade do celular, desative o rastreamento de anúncios e use as opções de recusa dos aplicativos.
  5. Opcional: bloqueio de anúncios na rede (por exemplo, no roteador), ou uma VPN comercial confiável que ofereça bloqueio de anúncios.
  6. Siga o Security Planner, da Consumer Reports, que monta recomendações personalizadas de segurança. O Citizen Lab o indica.

O relatório não trata da atualização de software em sua seção para pessoas, mas atualizar é a base de qualquer defesa e o Zero Breach Toolkit também a recomenda.

Passo a passo da verificação com o Zero Breach Toolkit

O Zero Breach Toolkit é uma ferramenta grátis e de código aberto (licença Apache-2.0) que procura rastros publicados de espiões conhecidos, como Pegasus, Predator e Candiru, em computadores, celulares Android e backups de iPhone. Ela só lê: não apaga nada e, segundo o README, não faz requisições de rede durante a verificação. Não precisa de direitos de administrador.

Importante: o README diz que, se você acha que está sendo alvo agora, procure ajuda especializada primeiro. Não precisa rodar a ferramenta antes de pedir ajuda.

Repositório: https://github.com/interplains/Zero-Breach-Toolkit

Há um programa pronto para baixar na página de releases do repositório (Windows, Mac e Linux), que dispensa instalar o Python. Baixe só dessa página oficial. Se o arquivo veio de outro lugar, não execute. Abaixo, o caminho com Python, descrito no próprio README.

No Windows

  1. Instale o Python em python.org/downloads e marque "Add python.exe to PATH".
  2. No GitHub, clique em Code, depois Download ZIP, e extraia.
  3. Feche navegadores e aplicativos de conversa.
  4. Abra a pasta Zero-Breach-Toolkit-main, depois scan, e dê duplo clique em run-scan.cmd.
  5. No menu, escolha a opção de atualizar as listas de indicadores (digite o número, Enter, y, Enter).
  6. Escolha a verificação padrão deste computador (cerca de 15 minutos).
  7. Uma cópia do resultado fica na pasta findings.

No Mac

  1. Instale o Python pelo python.org e rode, em Aplicativos, Python 3, o arquivo Install Certificates.command.
  2. Dê ao Terminal o Acesso Total ao Disco (Ajustes do Sistema, Privacidade e Segurança).
  3. No Terminal, rode: cd ~/Downloads/Zero-Breach-Toolkit-main && python3 -X utf8 scan/zero-breach-toolkit.py
  4. No menu, atualize as listas e rode a verificação padrão.

No celular Android

  1. Toque 7 vezes em "Número da compilação" (Configurações, Sobre o telefone) para liberar as Opções do desenvolvedor.
  2. Ative a "Depuração USB" e conecte o celular ao computador por cabo de dados. Toque em "Permitir".
  3. No menu da ferramenta, escolha a opção de celular, depois coletar de um Android conectado por USB, e confirme com YES.
  4. Siga as respostas recomendadas pelo README no coletor (por exemplo, backup apenas de SMS e apenas apps que não são do sistema).
  5. Mantenha o celular desbloqueado. A verificação começa sozinha. Depois, desligue a Depuração USB.

No iPhone (pelo backup)

O iPhone não roda a ferramenta. Ela verifica um backup feito no computador.

  1. Conecte o iPhone por cabo e toque em "Confiar". No Windows use o app Apple Devices; no Mac, o Finder.
  2. Escolha fazer backup de todos os dados no computador, marque "Criptografar backup local", defina uma senha e clique em fazer backup agora.
  3. No menu da ferramenta, escolha a opção de celular e depois backup de iPhone.
  4. Arraste a pasta do backup (a de nome longo, de letras e números) para a janela. Se pedir a senha, informe a que você definiu.

Um backup comum não contém todos os registros que um espião deixaria. Por isso a checagem de iPhone por backup tem alcance menor, e o README avisa isso.

Como ler o resultado

O resultado limpo não é atestado de segurança. O próprio README diz: "good news, not a guarantee" (boa notícia, não garantia). A ferramenta não encontra espião que ninguém publicou rastros e não prova que o aparelho está seguro. Computador e celular são verificados separadamente: a checagem do computador não diz se o celular está infectado.

Os resultados vêm em três famílias:

Muitos rastros expiram em semanas, então a ausência deles hoje não diz nada sobre o passado.

Onde pedir ajuda de especialista

Se você é jornalista, ativista, defensor de direitos humanos ou tem outro motivo para se considerar alvo, ou se a ferramenta encontrou algo forte, procure ajuda especializada. O README indica:

Se for abrir um problema (issue) no repositório da ferramenta, não cole o relatório lá: ele tem detalhes privados.

Fontes

Conferidas em 29/10/2026.

Você é o dono ou sócio do negócio?