A 15 de outubro de 2026, o Citizen Lab (https://citizenlab.ca), da Universidade de Toronto, e a empresa de cibersegurança Confiant (https://www.confiant.com) revelaram que a empresa israelita Discover-Tech usava anúncios online para perfilar utilizadores, ou seja, para recolher e cruzar, sem o seu conhecimento, os dados que cada anúncio recolhe do computador que o recebe: identificador de publicidade do telemóvel, os cookies do navegador, o endereço IP, o modelo do aparelho e a versão do sistema operativo, a aplicação ou o site em que o anúncio apareceu e a cidade ou bairro aproximados (recolhidos pelo IP e que surgem, por exemplo, em serviços como o https://geodatatool.com/en).

Estas recolhas permitem reconhecer o mesmo aparelho em diferentes sites, aplicações e redes. Permitem igualmente acompanhar os hábitos dos utilizadores e as suas deslocações e, em determinadas circunstâncias, associá-lo a uma pessoa concreta, incluindo ao seu número de telefone. Segundo os investigadores, a recolha atingia todos os que viam os anúncios, e não apenas os alvos escolhidos para infeção. Na prática, o perfil servia para decidir quem devia ser atacado. A mesma infraestrutura era usada para instalar o spyware da Candiru sem qualquer clique ou ação da vítima. Bastava ver o anúncio num site ou numa aplicação móvel.

A única infeção confirmada publicamente ocorreu em pelo menos 45 computadores da Al Jazeera, e os investigadores admitem que outros aparelhos possam ter sido visados. Mas a escala da operação é muito maior: cerca de 10 milhões de anúncios por dia, exibidos em mais de 120 mil sites e 75 mil aplicações. Durante seis anos, a empresa constou das listas de fornecedores certificados da Google e da IAB Europe.

Portugal não é um espectador distante destes acontecimentos: no relatório da Confiant (que pode ser lido em https://blog.confiant.com/p/adint-weaponized-ad-tech-for-zero-click-spyware-and-mass-identity-vacuuming), a análise da atividade da Discover-Tech entre 1 de abril e 10 de setembro de 2026 encontrou anúncios apresentados em 228 países. Nesse período, Portugal surge entre as geografias mais visadas em Android: cerca de 0,8% de todos os anúncios Android exibidos no país foram servidos pela Discover-Tech, ou seja, aproximadamente um em cada 125. Entre os exemplos destacados pela Confiant para Android estão também o Líbano e a Bélgica (ambos com 1,1%), enquanto a Palestina foi o território mais visado no conjunto de todos os aparelhos (1,9% do total de anúncios, com um pico de 9,9% a 7 de abril). Em iPhone, os valores mais altos na Europa registaram-se nos Países Baixos, no Montenegro, na Suécia e na Noruega. O relatório não explica a posição de destaque de Portugal: algo que pode ser o produto de campanhas de recolha de dados em larga escala, campanhas pontuais dirigidas a grupos específicos, o efeito de um mercado publicitário mais pequeno e barato, ou a proximidade de campanhas dirigidas a Espanha, onde houve entrega de spyware. Para uma empresa sem anunciantes legítimos conhecidos, esta distribuição dificilmente se explica por motivações comerciais, e é uma pergunta a que as autoridades portuguesas têm o dever de procurar responder.

A Confiant agrupou os países pela intensidade máxima diária da atividade e identificou seis focos regionais principais. Um deles é designado “Ibéria e Estreito” e inclui Portugal. Espanha teve períodos de atividade elevada que se prolongaram por uma a várias semanas, com anúncios dirigidos a todos os tipos de aparelho. Espanha consta ainda dos nove países onde a Confiant observou a fase mais grave: a entrega de anúncios ao sistema da Candiru. Gibraltar, no outro lado do Estreito, registou a 27 de abril um pico súbito de 4,7% concentrado apenas em computadores Windows.

A fase de entrega à Candiru envolvia volumes muito reduzidos, entre centenas e poucos milhares de anúncios por dia. Segundo a Confiant, isto indica uma seleção muito cirúrgica dos alvos que interessavam aos operadores. Esses anúncios foram servidos sobretudo em ligações domésticas e móveis, e não em redes de edifícios oficiais. Os alvos eram escolhidos pelo identificador do aparelho, não pelo local onde estavam. Uma pessoa visada pode, por isso, ter sido atingida em casa, no telemóvel, fora de qualquer rede institucional monitorizada.

O Citizen Lab acrescenta dois dados. Através de um registo de acessos que a Discover-Tech deixou exposto na internet, os investigadores identificaram 120 nomes de utilizador distintos a aceder à plataforma de seleção de alvos, a Controlium, ao longo de 128 dias. Um desses utilizadores, associado à Intelos (empresa que explora dados publicitários para fins de informações), acedeu a partir de Portugal, de Israel e dos Emirados Árabes Unidos. Separadamente, o Citizen Lab localizou em Portugal operadores ligados à Bindecy, empresa israelita especializada em ataques a telemóveis sem clique, a par de operadores na Bélgica, Alemanha, Noruega, Suécia, Espanha e Singapura.

Há ainda uma dimensão que afeta todos os residentes em Portugal, independentemente de serem alvos. A Discover-Tech usava o sistema europeu de gestão de consentimento da IAB Europe para aparentar conformidade com o RGPD. A Confiant documentou, porém, a recolha de cookies dos sites visitados, incluindo sessões de utilizadores autenticados, mesmo sem consentimento válido. Os anúncios com o código da Discover-Tech surgiram em aplicações e sites de uso corrente, muitos deles também populares em Portugal. Segundo o Citizen Lab, entre março e junho de 2026 os leitores de vídeo e música MX Player e Lark Player exibiram, cada um, mais de um milhão destes anúncios. O serviço de mensagens Viber exibiu mais de 700 mil em Android e cerca de 200 mil em iPhone. A aplicação de identificação de chamadas Truecaller, o editor de vídeo VivaCut e a VPN gratuita Snap VPN exibiram cerca de meio milhão cada. Os anúncios apareceram também no correio eletrónico Yahoo Mail, no navegador Opera Mini, na aplicação de meteorologia WetterOnline, na plataforma de aprendizagem de línguas Duolingo e em jogos como Bubble Shooter e Ludo STAR. Em menor número, na ordem dos milhares, surgiram em aplicações particularmente sensíveis: calendários menstruais, aplicações de partilha de localização com familiares e aplicações de encontros como o Badoo e o Grindr.

Na web, o padrão repete-se. Os anúncios foram exibidos em sites de meteorologia como o Weather.com (cerca de 400 mil) e o AccuWeather, no portal Yahoo, no TripAdvisor e numa longa lista de órgãos de informação internacionais, incluindo a BBC, o New York Times, a CBC e a Fox News.

Estes números referem-se à atividade global da empresa e o relatório não os desagrega por país. Tenhamos também em conta que as aplicações e os sites mencionados não são acusados de qualquer irregularidade: os anúncios chegavam-lhes através das bolsas de publicidade, como chega qualquer outro anúncio. É precisamente esse o problema. Num sistema em que qualquer comprador certificado pode colocar código nos ecrãs de milhões de pessoas, nenhuma aplicação de uso comum está, por si só, protegida.

Portugal não consta da lista de países onde o Citizen Lab identificou anúncios em redes governamentais. Contudo, esta ausência não é conclusiva: os dados analisados cobrem apenas uma das plataformas de compra da Discover-Tech, a MyDSP, durante quatro meses. Ficam de fora as compras feitas através de duas outras plataformas que a empresa também usava: a norte-americana https://www.beeswax.com e a lituana https://www.eskimi.com/. Ambas cortaram o acesso à Discover-Tech após a divulgação, mas os seus registos não chegaram a ser analisados pelos investigadores.

Nada disto prova a existência de vítimas em território nacional. A localização de um acesso não identifica a entidade nem o seu propósito, e a geolocalização por endereço IP pode ser distorcida por redes privadas virtuais ou servidores intermédios ou por simples erros de atribuição do IP a localidades. Mas o conjunto dos indícios justifica que as autoridades verifiquem, e que o país corrija as fragilidades que o caso expôs.

A CpC apresenta assim ao Governo e ao Parlamento nacionais dez propostas concretas, organizadas por prazo e por entidade responsável.

Medidas imediatas (próximos 30 dias)

1. O CNCS pode emitir um alerta com os indicadores de compromisso publicados pelo Citizen Lab e pela Confiant, isto é, a lista de domínios e servidores usados pela Discover-Tech e pela Candiru. Deve também coordenar uma pesquisa desses indicadores nos registos de DNS e de proxy das redes do Governo, dos órgãos de soberania, das Forças Armadas, do Ministério dos Negócios Estrangeiros e dos órgãos de comunicação social nacionais. Estes registos guardam os endereços que cada aparelho contactou, sem revelar o conteúdo das comunicações. Foi este tipo de registo que permitiu confirmar o ataque à Al Jazeera, onde os aparelhos infetados contactaram primeiro a Discover-Tech e depois os servidores da Candiru. Como muitas entidades conservam estes registos apenas durante semanas ou meses, o primeiro passo deve ser ordenar de imediato a sua preservação, abrangendo tanto quanto possível o período de 2024 a 2026. Qualquer contacto com servidores da Candiru deve dar lugar a análise forense do aparelho em causa. Os resultados devem ser comunicados à Assembleia da República de forma agregada: quantas entidades foram verificadas, quantas registaram contactos e se houve infeções confirmadas, sem identificar pessoas ou redes vulneráveis.
2. Bloqueio de publicidade nos dispositivos do Estado. O Governo, através do Gabinete Nacional de Segurança, deve determinar a filtragem de publicidade e rastreadores, ao nível do DNS, em todos os dispositivos institucionais de membros do Governo, deputados, magistrados, chefias militares e dirigentes superiores. É uma medida barata, reversível e de efeito imediato.
3. Apoio às redações. O CNCS deve disponibilizar, em articulação com o Sindicato dos Jornalistas e as associações de imprensa, uma linha de apoio técnico e de encaminhamento para análise forense. De sublinhar que a única vítima confirmada deste caso é um órgão de comunicação social.

Medidas de curto prazo (até seis meses)

4. Publicidade institucional sem leilões: o Governo deve alterar as regras da publicidade institucional do Estado, enquadrada pela Lei n.º 95/2015, para que a despesa pública em publicidade digital use apenas colocação contextual ou compra direta, sem leilões em tempo real nem segmentação individual. O Estado não deve financiar a infraestrutura que permite este tipo de abuso.
5. Filtragem como requisito de cibersegurança: o CNCS deve incluir na regulamentação do regime jurídico da cibersegurança (Decreto-Lei n.º 125/2025) a recomendação expressa de filtrar publicidade e rastreadores nas redes e dispositivos das entidades essenciais e da Administração Pública. A cadeia publicitária deve passar a ser tratada como risco de cadeia de fornecimento.
6. Verificação junto dos operadores móveis: a ANACOM deve questionar os operadores móveis nacionais sobre o uso de técnicas que exponham o número de telefone dos clientes a terceiros, como o chamado “header enrichment”. O Citizen Lab documentou a exploração destas falhas em operadores de mais de 30 países.
7. Ação coordenada em proteção de dados: a CNPD deve solicitar ao Comité Europeu para a Proteção de Dados e à autoridade belga, competente para a IAB Europe, uma avaliação coordenada do registo da Discover-Tech no sistema europeu de gestão de consentimento. Deve ainda verificar se a empresa designou representante na União Europeia, como exige o artigo 27.º do RGPD.

Medidas estruturais (próxima sessão legislativa)

8. Transparência sobre o uso estatal de spyware. A Assembleia da República deve ouvir o CNCS, a CNPD, a ANACOM e o Secretário-Geral do SIRP. O Governo deve informar, em sede própria, se alguma entidade pública portuguesa adquiriu ou utilizou ferramentas comerciais de intrusão ou serviços de inteligência baseada em dados publicitários e, se o fez, com que base legal.
9. Um regime legal claro para a intrusão estatal. A Lei do Cibercrime não contém um regime específico para o uso de spyware pelo Estado. A Assembleia da República deve legislar, na linha das recomendações da comissão PEGA do Parlamento Europeu, com autorização judicial prévia, limitação a crimes graves, notificação posterior dos visados e fiscalização por uma entidade independente. Portugal deve também confirmar publicamente a sua adesão ao Código de Práticas do Processo de Pall Mall e ponderar a adesão à Declaração Conjunta internacional sobre o spyware comercial.
10. Iniciativa portuguesa na União Europeia. No Conselho da UE, Portugal deve propor três medidas:

1. obrigações de verificação de identidade e de beneficiários efetivos para os fornecedores de tecnologia publicitária com acesso ao mercado europeu;
2. a proibição de executar código arbitrário dentro dos anúncios e limites à segmentação individual em leilões em tempo real;
3. um mecanismo europeu de listagem de fornecedores de spyware, equivalente à lista de entidades dos EUA, que lhes vede o acesso ao mercado interno e à contratação pública.
   

O que a CpC vai fazer

A CpC vai dirigir pedidos formais de informação ao CNCS, à CNPD e à ANACOM, e enviar estas propostas aos grupos parlamentares e aos deputados portugueses no Parlamento Europeu. Publicará as respostas recebidas (se estas existirem).

O caso Discover-Tech mostra que um simples anúncio online pode ser uma porta de entrada para os nossos equipamentos. A publicidade online deixou de ser apenas uma questão de privacidade. Passou a ser uma questão de cibersegurança nacional, de liberdade de imprensa e de integridade das nossas democracias.

Para saber mais:
https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
https://blog.confiant.com/p/adint-weaponized-ad-tech-for-zero-click-spyware-and-mass-identity-vacuuming
https://www.timesofisrael.com/israeli-company-used-online-ads-to-run-vast-spy-operation-researchers-say/
https://www.gov.uk/government/publications/the-pall-mall-process-code-of-practice-for-states