Nei giorni scorsi ha aperto al pubblico DecryptAds, una piattaforma che raccoglie e incrocia i file con cui siti e applicazioni dichiarano chi � autorizzato a vendere i loro spazi pubblicitari e a raccogliere dati sui visitatori. Nel corpus della piattaforma quasi 300 societ� di ad tech risultano registrate in giurisdizioni sanzionate, avversarie o note per la segretezza finanziaria, e compaiono nella filiera dichiarata di siti e app che milioni di persone usano ogni giorno. L’accesso di base � gratuito e richiede solo la creazione di un account, mentre le funzioni avanzate restano riservate.
I file scandagliati sono cinque, e sono pubblici da anni: ads.txt elenca le societ� pubblicitarie e i data broker che possono servire annunci o raccogliere dati da un sito, app-ads.txt fa lo stesso per le app mobili e per quelle degli smart TV, mentre sellers.json e buyers.json dicono chi compra, vende e rivende quell’inventario. Il limite non � la disponibilit� del dato, � che leggerne uno per volta non dice quasi nulla. “I problemi di integrit� della filiera raramente stanno in un solo file”, spiega la piattaforma: “si manifestano come riferimenti incrociati che non tornano fra ads.txt, app-ads.txt e sellers.json, come insiemi di dichiarazioni clonati su domini senza relazione fra loro, come rimozioni di venditori che acquistano senso solo guardando pi� exchange insieme”.
Dietro il servizio ci sono tre fondatori, fra cui Zach Edwards, responsabile della ricerca di DecryptAds e ricercatore di sicurezza presso Infoblox, che ha raccontato genesi e obiettivi del progetto in un’intervista a KrebsOnSecurity. “� uno strumento di ad tech, ma proviamo ad affrontare l’ad tech da una prospettiva di sicurezza”, ha dichiarato Edwards. “� costruito per una quantit� di casi d’uso di privacy e di sicurezza che sono stati enormemente trascurati”: risalire alla provenienza degli annunci malevoli che tentano di installare malware, identificare le reti pubblicitarie con base in paesi avversari, individuare gli sciami crescenti di siti e app riempiti di contenuti generati dall’intelligenza artificiale.
La geografia delle societ� pubblicitarie
I numeri sulla distribuzione geografica sono la parte pi� immediatamente leggibile del lavoro. DecryptAds conta 81 societ� di ad tech registrate in Russia, che ricadono nella fascia delle sanzioni, e 84 fra Cina e Hong Kong, classificate come giurisdizioni avversarie. Altre 24 sono registrate in paradisi della segretezza societaria, cio� Cipro, Panama, Seychelles, Isole Vergini Britanniche, Jersey e Gibilterra, mentre il gruppo pi� numeroso, 98 societ�, si trova in una fascia di rischio elevato che comprende Turchia, Ucraina, Emirati Arabi Uniti, Nigeria e Pakistan.
La piattaforma � esplicita sul modo in cui quei numeri sono stati ottenuti: la classificazione nasce da una corrispondenza per parole chiave sull’indirizzo che ogni societ� dichiara nel proprio sellers.json, ancorata ai quadri di riferimento dell’OFAC, all’ordine esecutivo statunitense 14117 e agli standard FATF sulla segretezza finanziaria. Sono quindi indizi da approfondire e non accertamenti, come DecryptAds scrive a chiare lettere, e i totali sono destinati a crescere man mano che la raccolta prosegue.
Applicata a un sito singolo, la stessa base di dati produce risultati pi� concreti. Una ricerca su espn.com condotta da KrebsOnSecurity restituisce 143 partner pubblicitari e 19 domini di data broker registrati fra ads.txt e app-ads.txt del portale sportivo. Quasi met� di quei data broker dichiara di raccogliere dati di geolocalizzazione dai visitatori che non bloccano gli annunci, mentre altri tre dichiarano di raccogliere impronte digitali del dispositivo e informazioni personali sensibili. Quattro dei partner risultano basati in Russia, Cina o Emirati Arabi Uniti.
Between Digital sui siti delle forze armate americane
Fra quei quattro c’� Between Digital, che nei propri file dichiara un indirizzo a New York. Il dossier che DecryptAds costruisce sull’azienda la segnala per� come societ� russa, e porta un elemento verificabile a sostegno: le sue offerte ai publisher vengono processate attraverso Alfa Bank, la maggiore banca commerciale privata russa, finita sotto sanzioni statunitensi nel 2022 dopo l’invasione dell’Ucraina. Secondo la piattaforma, Between Digital raccoglie dati pubblicitari su circa 55.000 siti partner. Ricostruzioni di questo tipo passano dal Legal Dossier, uno strumento in fase beta che mappa struttura societaria, propriet� e vertici di un’azienda pubblicitaria e resta riservato a ricercatori e clienti enterprise.
La stessa societ� compare nei file di sei testate militari statunitensi. armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com e federaltimes.com autorizzano tutte Between Digital a servire annunci e a tracciare i lettori, insieme a due entit� con base negli Emirati e a una registrata a Panama. Le dichiarazioni della societ� mostrano inoltre che su circa due terzi del suo portafoglio risulta iscritta al tempo stesso come publisher e come rivenditore. “Significa che gioca su entrambi i lati dell’asta, il che apre la possibilit� di indirizzare la spesa dei clienti verso propriet� possedute e gestite da lei stessa, creando di fatto occasioni di conflitto di interessi”, ha commentato Edwards. “Il problema, adesso, � che per anni non c’� stato quasi nessuno a vigilare su questi file ads.txt e app-ads.txt”.
Il profilo di opera.com mostra quanto la questione riguardi anche software di larga diffusione. Il browser � controllato dal 2016 dalla societ� cinese Kunlun Tech, che ne detiene la maggioranza, mentre il quartier generale operativo resta a Oslo. DecryptAds individua sul dominio 27 data broker registrati che raccolgono informazioni, oltre a 15 partner pubblicitari negli Emirati Arabi Uniti, sei in Cina, tre a Cipro, due in Russia e uno ciascuno a Hong Kong e in Ucraina. La stessa scheda precisa che queste societ� rappresentano il sette per cento dei partner dichiarati nei file del sito, una proporzione che vale la pena tenere presente prima di leggere il dato come un ritratto complessivo.
Registri dei data broker e rimozioni silenziose
Una parte del quadro esiste solo grazie a quattro leggi statali recenti. California, Oregon, Texas e Vermont impongono a chi compra o vende dati sui residenti di iscriversi a un registro pubblico, e da quei registri emerge che 62 societ� di ad tech si sono dichiarate data broker, ma nessuna in tutti e quattro gli stati: 49 risultano in California, 29 in Oregon, 24 in Texas e 16 in Vermont. DecryptAds confronta in tempo reale i registri di California e Texas, mentre i numeri di Oregon e Vermont sono totali di registro. La stessa piattaforma avverte che una corrispondenza con questi elenchi � un segnale di sovrapposizione da verificare, non la prova che una determinata societ� raccolga dati su un determinato sito.
Un secondo strumento osserva ci� che le aziende tolgono dai propri file invece di ci� che ci mettono. Quando un exchange sospetta che un partner sia coinvolto in clic non autentici o nella diffusione di annunci malevoli, di norma lo cancella dal proprio sellers.json senza annunci pubblici, e il feed delle rimozioni silenziose di DecryptAds registra e correla quelle sparizioni fra i vari exchange. “Nel modo in cui funziona questo settore, qualcuno scrive un rapporto sulla frode pubblicitaria e lo condivide solo con i propri clienti, senza renderlo pubblico”, ha spiegato Edwards. “Il bando consiste semplicemente nel rimuoverli dal file sellers.json, ma non lo hanno detto a nessuno: un giorno c’erano, il giorno dopo non c’erano pi�”. Per un inserzionista quella lista � anche il punto di partenza per chiedere un rimborso su spazi acquistati presso una fonte poi espulsa.
Sul fronte del malvertising, Edwards indica uno spostamento del bersaglio che smentisce l’intuizione comune. Gli annunci malevoli si trovano oggi molto pi� spesso sui siti appena generati con l’intelligenza artificiale, quelli che il settore chiama slop, che sulle destinazioni ad alto traffico, dotate di filtri e strumenti di terze parti per intercettare rapidamente le inserzioni sospette. “Nessuna di queste fattorie di contenuti paga per quel tipo di protezione”, ha dichiarato. “Si limitano ad arruolare i partner di qualit� pi� bassa, e la cosa diventa in sostanza un binario ingrassato per colpire gli utenti di quei siti con annunci malevoli”. Per separare gli editori reali da questa produzione, la piattaforma assegna a ogni sito un punteggio di rischio da 0 a 100 sui tratti tipici dei siti costruiti per la pubblicit�, dalla densit� degli annunci al riuso dello stesso identificativo su un intero portafoglio, e affianca al catalogo web un archivio di oltre 2,2 milioni di app raccolte da Google Play, Apple, Roku, Fire TV e Samsung TV.
Resta un pezzo che nessun raccoglitore di file pubblici pu� ricostruire da fuori, ed � quello che servirebbe davvero a chiudere le indagini sugli annunci malevoli. Il supply chain object, la struttura dati agganciata a ogni richiesta di offerta che elenca venditori, rivenditori e intermediari coinvolti nel passaggio di una singola impression, viene servito solo lato server e le grandi piattaforme non lo espongono ai client. “Quel dato ti dice chi ha venduto o rivenduto l’impression e quale sia stato il soggetto che l’ha comprata, quella che ha poi consegnato il payload malevolo”, ha detto Edwards. “Puoi vedere il reindirizzamento malevolo, ma senza il supply chain object non saprai chi ha colpito le tue persone con il malware, e non avrai un modo di impedirlo come si deve”.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
