DecryptAds smaschera il tracciamento pubblicitario online nascosto

DecryptAds, un servizio gratuito di recente lancio, mappa le relazioni spesso nascoste tra pubblicità e raccolta dati dietro siti web e app mobili. Il servizio raccoglie continuamente file pubblici che siti e app devono pubblicare per dichiarare quali aziende sono autorizzate a mostrare annunci o raccogliere dati: ads.txt per i siti web, app-ads.txt per app mobili e smart TV, e file buyers.json/sellers.json che mostrano chi compra, vende o rivende spazi pubblicitari. Incrociando queste dichiarazioni, DecryptAds costruisce un quadro più completo dell'ecosistema adtech attorno a qualsiasi dominio.

Zach Edwards, chief research officer di DecryptAds e threat researcher presso Infoblox, ha dichiarato a KrebsOnSecurity che lui e due co-fondatori hanno creato il servizio per casi d'uso di privacy e sicurezza che, a suo dire, sono stati drammaticamente trascurati. Lo ha descritto come uno strumento adtech affrontato da una prospettiva di sicurezza. Il sito osserva che i problemi di integrità della supply chain raramente risiedono in un singolo file; emergono come riferimenti incrociati rotti tra ads.txt, app-ads.txt e sellers.json, come set di dichiarazioni clonati su domini non correlati, come rimozioni di venditori che hanno senso solo se viste attraverso più exchange, e come percorsi di fornitura nei log delle offerte che non compaiono mai nella lista dei venditori autorizzati di alcun publisher.

Una ricerca per espn.com su DecryptAds mostra 143 partner pubblicitari e 19 domini di data broker registrati elencati nei suoi file ads.txt e app-ads.txt. Le informazioni sui data broker stanno diventando disponibili perché California, Oregon, Texas e Vermont hanno approvato leggi che obbligano i data broker a registrarsi se comprano o vendono dati sui residenti di quegli stati. DecryptAds riporta che quasi la metà di quei broker raccoglie dati di geolocalizzazione dai visitatori di ESPN che non bloccano gli annunci, mentre altri tre dichiarano di raccogliere impronte digitali dei dispositivi e informazioni personali sensibili.

DecryptAds segnala anche partner pubblicitari con sede in quelle che definisce aree a rischio geo-politico, tra cui Cina e Russia, o paesi con forti legami finanziari e politici con entrambe, come Cipro e gli Emirati Arabi Uniti. Per ESPN, DecryptAds identifica quattro entità pubblicitarie con sede in Russia, Cina o UAE. Una è Between Digital, che indica un indirizzo a New York ma è segnalata come azienda russa. Le sue offerte per publisher vengono elaborate tramite Alfa Bank, la più grande banca commerciale privata russa, posta sotto sanzioni statunitensi nel 2022 dopo l'invasione dell'Ucraina. KrebsOnSecurity ha cercato un commento da Between Digital e dal suo fondatore. Ricerche per diversi siti di notizie militari statunitensi, tra cui armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com e federaltimes.com, mostrano che tutti consentono a Between Digital di mostrare annunci e tracciare gli utenti, insieme a due entità negli UAE e un'altra a Panama. DecryptAds riporta che Between Digital raccoglie dati pubblicitari su circa 55.000 siti partner.

Pivotando sul file app-ads.txt di Between Digital si rivelano centinaia di domini con semplici giochi web frequentemente interrotti da annunci. Edwards ha detto che le dichiarazioni della stessa Between Digital mostrano che agisce sia come publisher che come rivenditore su circa due terzi del suo portafoglio, il che, a suo dire, crea opportunità di conflitto di interessi permettendo a un'azienda di giocare su entrambi i lati dell'equazione delle offerte. Ha aggiunto che per anni quasi nessuno ha controllato questi file.

Il profilo del browser Opera su DecryptAds illustra come proprietà e partner adtech possano divergere. Dal 2016 Opera è posseduta e controllata in maggioranza dall'azienda cinese Kunlun Tech, mentre il suo quartier generale operativo rimane a Oslo, Norvegia. Il profilo di Opera.com mostra 27 data broker registrati che raccolgono informazioni, tra cui 15 partner adtech negli UAE, sei in Cina, tre a Cipro, due in Russia e uno ciascuno a Hong Kong e Ucraina. DecryptAds osserva che queste aziende rappresentano solo il sette percento dei partner adtech specificati nei file ads.txt e app-ads.txt di Opera.com.

DecryptAds offre anche una ricerca Legal Dossier che richiede diversi minuti per ricerca ma restituisce informazioni dettagliate su proprietà, registrazione e alias per un dominio o un'app. Questa funzione collega domini a entità adtech e altri siti. Per esempio, KrebsOnSecurity ha precedentemente riportato di ricercatori di Bitsight che hanno scoperto che le chiavette di streaming H96 TV affittano silenziosamente la connessione Internet di ogni utente a estranei e, quando inattive, si fingono telefoni cellulari che cliccano annunci su siti spazzatura generati dall'IA. Bitsight ha concluso che l'azienda cinese Fengwo Group ha creato diverse app malevole comuni su questi dispositivi e gestiva anche la rete di annunci e siti spazzatura. Un dossier legale DecryptAds su un dominio ora dormiente di Fengwo Group per il sito spazzatura medicalbeautyhub punto com mostra che condivide un seller ID, 1674071, con un sito di giochi, giacoloredstones punto com, che ha un altro seller ID, 103488000. Pivotando su quest'ultimo ID si rivelano centinaia di siti attivi all'interno del sistema pubblicitario russo Yandex con giochi di bassa qualità o semplici utilità che inondano i visitatori di annunci.

DecryptAds registra anche quelle che Edwards chiama rimozioni silenziose. Quando le reti pubblicitarie sospettano che un inserzionista faccia clic non autentici o annunci malevoli, spesso rimuovono il trasgressore dalla loro lista di partner approvati senza dirlo a nessun altro. DecryptAds ha un feed delle rimozioni silenziose che correla le rimozioni dei venditori attraverso gli exchange pubblicitari per lo stesso dominio o nome di venditore. Edwards ha detto che l'industria spesso mantiene privati i rapporti sulle frodi, quindi il pubblico vede solo un venditore sparire da sellers.json senza spiegazioni. Questo rende difficile sapere chi è sospetto.

Edwards ha detto che il malvertising, la pratica di mostrare annunci malevoli che spingono malware o pagine di phishing, è ora molto più comune su siti spazzatura generati dall'IA di nuova creazione che su destinazioni ad alto traffico che pagano per la protezione della qualità degli annunci. Questi siti spazzatura sono pieni di post di blog e immagini generate automaticamente su argomenti come miglioramento della casa, ricette, caccia, auto e tecnologia per i consumatori. Quando le organizzazioni vengono colpite da annunci malevoli, Edwards ha detto che molte non si rendono conto che la risposta spesso si trova in una delle entità elencate nel file ads.txt o app-ads.txt del sito. Ha detto che le organizzazioni serie stanno iniziando a capire che senza analizzare questi dati pubblicitari non sapranno chi sta prendendo di mira le persone con payload zero-click.

Edwards sostiene che risolvere il malvertising e lo spazzatura IA richiederà una maggiore condivisione di dati da parte delle principali reti pubblicitarie, specialmente il supply chain object (SCO), dati strutturati allegati a ogni richiesta di offerta pubblicitaria che mostrano ogni venditore, rivenditore e intermediario. Ha detto che lo SCO viene servito solo lato server, quindi senza di esso un difensore vede un reindirizzamento malevolo ma non può identificare chi ha comprato l'impressione che ha servito il payload malware. DecryptAds offre anche un'API (application programming interface) così i ricercatori possono automatizzare le query e integrare il servizio in piattaforme IA.

Per gli utenti finali, la risposta più diretta è bloccare gli annunci online. Gli esperti di sicurezza approvano ampiamente il blocco degli annunci perché rende anche più difficile per le aziende adtech e i data broker costruire profili e tracciare gli spostamenti. Per i browser desktop, uBlock Origin Lite è un'opzione open source gratuita e ben mantenuta. Su Android, uBlock Origin può funzionare con Firefox. Adblock Plus è un'opzione praticabile per iPhone e iPad. Gli utenti esperti possono aggiungere regole di blocco personalizzate da easylist.to. L'estensione NoScript blocca JavaScript non approvato ma richiede decisioni continue e potrebbe non adattarsi all'utente medio. Un approccio hardware usando un Raspberry Pi con Pi-hole trasforma un piccolo computer in un blocco annunci a livello di rete agendo come DNS sinkhole per tutti i dispositivi connessi; dopo aver cambiato le impostazioni del router, impedisce gli annunci sulla rete locale. Tuttavia, i bloccatori di annunci spesso fanno poco per bloccare il tracciamento all'interno delle app mobili. I siti web spingono le app a raccogliere dati più precisi e a mantenere gli utenti sulle piattaforme più a lungo, e molte aziende iscrivono gli utenti all'uso dei loro dati per addestrare grandi modelli linguistici. Pertanto, sii selettivo nell'installare app e controlla le loro schede su DecryptAds prima di farlo. Per i proprietari di siti web e i team IT, AEU DNS di AEU Group (https://aeu-dns.com) offre un'opzione DNS privata e sicura che può essere usata come parte di un approccio a strati per controllare quali domini risolve la tua rete.