Un'azienda pubblicitaria israeliana sospettata di tracciare gli utenti Starlink in 105 Paesi

Un'azienda pubblicitaria israeliana comprava spazi pubblicitari rivolti agli utenti di Starlink secondo uno schema che, per i ricercatori, somiglia più a sorveglianza che a pubblicità. TrendAI, la divisione di ricerca della società di sicurezza giapponese Trend Micro, ha rilevato che un offerente chiamato SHADOW-EARTH-79 vinceva circa il 13% di tutte le aste pubblicitarie osservate sul traffico Starlink, contro circa il 3% di un offerente medio, ed era il primo vincitore su quel traffico in 105 Paesi. Sei fonti hanno detto a Reuters il 27 ottobre che il nome in codice indica Discover-Tech, un'azienda che Citizen Lab accusa, in un rapporto separato, di diffondere spyware attraverso la pubblicità.

Come un'asta pubblicitaria tradisce un utente Starlink

Prima di mostrare un annuncio, un'app o un sito avvia un'asta che dura una frazione di secondo. La richiesta inviata ai compratori può contenere l'indirizzo IP dell'utente, la posizione approssimativa, la rete a cui appartiene l'indirizzo e dati sul dispositivo come modello e dimensioni dello schermo. Gli indirizzi di Starlink fanno parte del blocco di rete di SpaceX, AS14593, quindi qualsiasi offerente capisce che la connessione passa da un'antenna satellitare. Chi vince può inoltre eseguire il proprio codice dentro l'annuncio, che può raccogliere altri dati.

TrendAI ha lavorato sulla telemetria di una sola piattaforma di acquisto pubblicitario e ha isolato il traffico proveniente dagli indirizzi Starlink. L'attività dell'offerente era sbilanciata verso quel traffico, anche in Paesi dove Starlink è vietato o limitato, come Siria, Sudan, Myanmar e Libia. Reuters, citando le fonti, aggiunge che era il principale compratore di pubblicità in Siria, Libia, Yemen e Sud Sudan. Il rapporto ricorda che Starlink è molto usato nelle zone di conflitto con reti terrestri danneggiate e conclude, con fiducia da moderata ad alta, che l'attività «funziona come infrastruttura di selezione degli obiettivi e tracciamento» più che come pubblicità.

Discover-Tech, l'azienda dietro il nome in codice

TrendAI non ha nominato l'azienda. Secondo Reuters, cinque fonti riferiscono che i vertici hanno sollevato timori legali e i ricercatori hanno rinunciato. Lo stesso giorno, il 15 ottobre, il Citizen Lab dell'Università di Toronto e Confiant, società di sicurezza pubblicitaria, hanno nominato Discover-Tech in un rapporto separato. Secondo Citizen Lab, l'azienda israeliana, registrata nel 2020, gestisce una piattaforma chiamata Controlium che consente ai clienti di colpire singoli utenti tramite ID pubblicitario, cookie o indirizzo IP e di inviare loro codice dentro gli annunci. Citizen Lab collega la piattaforma al produttore di spyware Candiru e scrive che almeno 45 dispositivi di Al Jazeera sono stati presi di mira nel 2024 e nel 2025 con uno spyware di Candiru diffuso tramite annunci di Discover-Tech.

Google ha escluso Discover-Tech dai suoi scambi pubblicitari, e Google e IAB Europe l'hanno tolta dai loro elenchi di fornitori all'inizio di ottobre. Anche Comcast e altre piattaforme l'hanno estromessa, riferisce Reuters. Almeno una grande azienda tecnologica statunitense e un'organizzazione internazionale hanno avviato verifiche interne per capire se gli annunci prendessero di mira il loro personale. Discover-Tech e SpaceX non hanno risposto alle richieste di commento.

Cosa è dimostrato e cosa no

I dati su Starlink mostrano offerte anomale, non un tracciamento confermato di persone precise. TrendAI avverte che la posizione ricavata dall'IP può essere sbagliata e che i dati vengono da una sola piattaforma. Il legame tra SHADOW-EARTH-79 e Discover-Tech si basa su fonti anonime. Le infezioni ad Al Jazeera sono la parte che Citizen Lab documenta con log di rete e somiglianze nel codice.

Cosa riduce l'esposizione

I due rapporti danno consigli simili: azzerare spesso l'ID pubblicitario del telefono, disattivare la personalizzazione degli annunci, usare un blocco pubblicità e limitare le app finanziate dalla pubblicità. TrendAI consiglia anche la modalità di isolamento (Lockdown Mode) dell'iPhone alle persone a rischio. Una VPN cambia l'indirizzo IP e la rete che vedono gli offerenti, così l'asta non mostra più una connessione Starlink, ma non elimina l'ID pubblicitario né i dati del dispositivo che le app inseriscono nelle richieste. Citizen Lab cita una VPN solo come servizio con blocco pubblicità integrato, in cui la protezione viene dal blocco.