In che modo la pubblicità intrusiva minaccia la nostra sicurezza online?

Quando il banner pubblicitario diventa un'arma

Non bisogna per forza cliccare su un link sospetto in una mail per farsi hackerare. A volte basta visitare un sito di informazione assolutamente legittimo. Le reti pubblicitarie sono talmente complesse e automatizzate — il sistema di aste in tempo reale, ovvero il Real-Time Bidding — che gli editori dei siti non controllano più affatto ciò che viene mostrato da loro.

I pirati comprano spazi pubblicitari del tutto legalmente. Poi iniettano codice malevolo nello spazio pubblicitario. Solo caricando la pagina, il tuo browser può eseguire questo codice e installare discretamente uno spyware o reindirizzarti verso una pagina di phishing molto ben imitata.

Il Real-Time Bidding e l'incontrollabile

Il Real-Time Bidding (RTB) è diventato la modalità d'acquisto pubblicitario dominante. Concretamente, quando carichi una pagina:

1. Il tuo profilo (interessi presunti, storico, geolocalizzazione) viene inviato a una piattaforma di aste.
2. Centinaia di inserzionisti vengono notificati in parallelo e sottopongono un'offerta.
3. Il miglior offerente vince — in alcune decine di millisecondi.
4. La sua creatività pubblicitaria viene iniettata nello spazio riservato sulla pagina.

Il problema è strutturale: l'editore del sito non vede mai la pubblicità prima che venga mostrata. Non ha alcun mezzo pratico per verificare se il codice del banner è legittimo, se contiene uno script di tracking abusivo, o peggio, un exploit. I controlli delle piattaforme RTB esistono ma restano largamente insufficienti di fronte al volume — decine di miliardi di transazioni al giorno.

L'Interactive Advertising Bureau (IAB) ha tentato di normare standard (ads.txt, sellers.json) per limitare le frodi, ma il malvertising resta uno degli angoli di attacco più redditizi per i gruppi cybercriminali.

La truffa per manipolazione: i dark patterns

Oltre all'attacco tecnico puro, la pubblicità intrusiva usa massicciamente i «dark patterns». Si tratta di interfacce progettate per ingannarti:

• Finte croci di chiusura: clicchi sulla X per chiudere la pubblicità, ma in realtà è un pulsante di click che apre la regia pubblicitaria.
• Allarmi ansiogeni: «Il tuo PC è infetto, clicca qui!», «Hai vinto un iPhone, reclamalo ora!».
• Finti pulsanti di sistema: banner che imitano le notifiche Windows o macOS per spingere all'installazione di un finto antivirus.
• Confirm shaming: «No grazie, preferisco pagare di più la mia assicurazione» invece di un semplice «No».
• Roach motel: facile iscriversi, quasi impossibile cancellarsi.

Queste pratiche sono ormai esplicitamente disciplinate dal Digital Services Act europeo e dal Garante Privacy lato italiano. Le sanzioni salgono — ma il divario tra la sanzione e il beneficio realizzato resta ancora largamente a favore degli inserzionisti malevoli.

Casi reali: chi è già stato colpito

Il malvertising non è una minaccia teorica. Alcuni esempi documentati negli ultimi anni:

• Il New York Times e la BBC hanno diffuso senza saperlo banner contenenti codice ransomware (2016, ma il pattern resta attuale).
• Forbes, MSN, AOL e diversi grandi portali sono stati contaminati dalla campagna «AdGholas» che colpiva specificamente i browser non aggiornati.
• YouTube ha visto comparire più volte pubblicità preroll che reindirizzavano verso siti di phishing che imitavano Google o Microsoft.
• Siti di notizie italiani ed europei hanno diffuso nel 2024 banner che sfruttavano una falla zero-day su Chrome prima che fosse corretta.

Il punto comune: nessun sito malevolo. Nessun download a tradimento. Solo un sito legittimo, un banner truccato passato attraverso i controlli, e un utente con il browser non aggiornato.

Come proteggersi in pratica

Combattere la pubblicità con strumenti performanti come Sheeldy non è quindi solo una questione di comfort visivo — è una vera misura di igiene di cybersecurity di base. Le azioni concrete, in ordine di impatto:

1. Mantenere browser e OS aggiornati

La grande maggioranza delle campagne di malvertising sfrutta falle già corrette. Attiva gli aggiornamenti automatici. È gratis ed è la difesa più efficace.

2. Installare un ad blocker

uBlock Origin su Firefox, Brave nativo. Non per comfort, ma perché un banner non caricato è un banner che non può attaccarti.

3. Disattivare i plugin inutili

Flash, Java, vecchi lettori PDF integrati nel browser. Questi vecchi componenti sono passerelle classiche per il drive-by download.

4. Tagliare la raccolta che alimenta il targeting

Le campagne di malvertising funzionano per targeting — colpiscono profili precisi. Più il tuo profilo è dettagliato presso i data brokers, più sei un bersaglio attraente. Cancellare i tuoi dati dai broker (quello che fa Sheeldy) riduce meccanicamente il rischio di essere preso di mira.