Starlink, Discover-Tech sospettata di tracciare utenti in 105 Paesi

📌 In Sintesi

• TrendAI individua SHADOW-EARTH-79 come principale acquirente di impression pubblicitarie Starlink in 105 Paesi. Reuters collega il soggetto alla società israeliana Discover-Tech attraverso sei fonti informate sulle indagini.
• Nel campione italiano analizzato da TrendAI, il soggetto controllava il 64,6% delle aste pubblicitarie vinte sulla connettività Starlink: 1.092 eventi su 1.691 osservati.
• Citizen Lab e Confiant documentano il coinvolgimento di Discover-Tech in infrastrutture pubblicitarie utilizzate per sorveglianza e attacchi zero-click con spyware Candiru, inclusi dispositivi di Al Jazeera.

Una società israeliana specializzata nella pubblicità digitale è sospettata di aver utilizzato le aste pubblicitarie online per identificare e monitorare utenti Starlink in oltre cento Paesi, compresi territori nei quali il servizio satellitare di SpaceX è vietato o sottoposto a restrizioni. L’inchiesta pubblicata da Reuters il 27 ottobre 2026 identifica Discover-Tech come il soggetto che, secondo sei persone a conoscenza delle indagini, sarebbe responsabile dell’attività osservata da TrendAI, divisione di ricerca sulla sicurezza di Trend Micro. I dati mostrano una concentrazione anomala degli investimenti pubblicitari verso connessioni Starlink, con una presenza particolarmente elevata in aree di conflitto e Paesi sottoposti a sanzioni. La scoperta si collega a una precedente indagine di Citizen Lab e Confiant, che ha documentato l’utilizzo delle infrastrutture pubblicitarie di Discover-Tech per operazioni di sorveglianza e distribuzione di spyware. Non emerge una compromissione dell’infrastruttura satellitare di SpaceX, ma una possibile strategia di tracciamento attraverso i dati generati durante la normale navigazione web.

SHADOW-EARTH-79 domina le aste pubblicitarie degli utenti Starlink

Secondo l’inchiesta originale di Reuters, gli analisti di TrendAI hanno individuato un operatore pubblicitario particolarmente attivo nell’acquisto di impression destinate agli utenti della rete Starlink. La società di sicurezza aveva già pubblicato il 15 ottobre 2026 il rapporto tecnico Invasive Ads: The Unconventional Cyber Surveillance Attack Surface, utilizzando il nome convenzionale SHADOW-EARTH-79 senza attribuire pubblicamente l’attività a un’azienda specifica. Secondo sei fonti sentite da Reuters, i ricercatori avevano però collegato l’infrastruttura a Discover-Tech, arrivando a discutere la possibilità di identificarla direttamente nel documento. La decisione di mantenere anonimo il soggetto sarebbe stata influenzata dalle preoccupazioni legali espresse dai dirigenti di TrendAI, una circostanza riportata dall’agenzia ma non confermata pubblicamente dalla società come ragione della mancata attribuzione.

I risultati tecnici descrivono una presenza pubblicitaria difficilmente riconducibile alle normali strategie commerciali. SHADOW-EARTH-79 risultava il principale aggiudicatario di annunci associati alla rete Starlink in 105 Paesi, mentre rappresentava circa il 12,9% delle impression Starlink vinte nel campione analizzato, a fronte di una quota del 2,6% nelle altre inserzioni osservate. Il rapporto calcola quindi una sovrarappresentazione di circa 4,9 volte rispetto alla distribuzione ordinaria delle attività dell’operatore. Su tutte le connessioni esaminate, indipendentemente da Starlink, SHADOW-EARTH-79 era inoltre il primo acquirente pubblicitario in 49 Paesi. I ricercatori hanno utilizzato i registri di telemetria di una specifica piattaforma pubblicitaria, identificando i partecipanti alle aste, gli indirizzi IP, le reti di provenienza e le aree geografiche associate alle richieste. È una limitazione metodologica importante: le percentuali non descrivono l’intero traffico Starlink mondiale, ma gli eventi osservati nel perimetro di misurazione di TrendAI.

Il caso italiano: il 64,6% delle aste osservate viene vinto dal soggetto sospetto

Un elemento particolarmente rilevante emerge consultando direttamente i dati geografici pubblicati da TrendAI. L’Italia compare fra i Paesi nei quali SHADOW-EARTH-79 risulta il principale aggiudicatario delle aste pubblicitarie sulla connettività Starlink. Nel periodo di telemetria compreso tra giugno 2024 e giugno 2026, i ricercatori hanno registrato 1.691 eventi pubblicitari associati a Starlink e localizzati in Italia, dei quali 1.092 attribuiti a SHADOW-EARTH-79, per una quota del 64,6%. Nel medesimo campione risultavano presenti 18 acquirenti pubblicitari. Il dato italiano è inferiore in termini assoluti a quello osservato in Australia, ma mostra una concentrazione significativa a favore di un singolo operatore. Non significa che il 64,6% degli utenti Starlink italiani sia stato spiato, né che la stessa percentuale di tutte le inserzioni visualizzate nel Paese sia riconducibile all’infrastruttura sospetta. È la quota delle aste vinte all’interno del campione monitorato, un indicatore di interesse operativo verso questa categoria di connessioni.

La distribuzione geografica comprende territori nei quali la connettività satellitare assume un valore particolarmente sensibile. SHADOW-EARTH-79 risultava il principale acquirente di pubblicità in Siria, Libia, Yemen e Sud Sudan, mentre occupava il secondo posto in Afghanistan. TrendAI ha identificato inoltre aste associate a Starlink in Myanmar, Sudan e altri Paesi soggetti a restrizioni, precisando che la geolocalizzazione degli indirizzi IP può presentare margini di errore. L’importanza del targeting deriva dalle caratteristiche del servizio satellitare: Starlink permette di collegarsi a Internet anche dove le infrastrutture terrestri sono danneggiate, censurate o controllate dalle autorità locali. La rete viene utilizzata anche in Ucraina per comunicazioni civili e militari, aumentando l’interesse verso qualsiasi tecnologia capace di ricostruire la presenza di utenti e dispositivi in determinate aree. La possibilità di raggiungere attraverso inserzioni pubblicitarie persone collegate a Starlink non equivale a localizzare automaticamente un terminale con precisione militare, ma può contribuire alla costruzione di profili individuali attraverso successive correlazioni.

Leggi anche: Starlink in Italia tra tecnologia e incoerenza politica

Come funziona lo spionaggio attraverso le aste pubblicitarie RTB

Il meccanismo individuato dagli analisti sfrutta il funzionamento del Real-Time Bidding, il sistema attraverso il quale gli spazi pubblicitari vengono assegnati in aste automatizzate che si completano in pochi millisecondi. Quando una persona apre un sito o un’applicazione che utilizza pubblicità programmatica, il sistema può trasmettere ai potenziali inserzionisti informazioni sul dispositivo e sul contesto di navigazione. Tra i dati disponibili, secondo le specifiche implementazioni e le autorizzazioni presenti, possono comparire indirizzo IP, area geografica, identificativi pubblicitari, caratteristiche hardware, sistema operativo e informazioni sulla rete di provenienza. Un soggetto che partecipa sistematicamente a queste aste può quindi raccogliere informazioni utili a identificare gruppi di utenti, ricostruire abitudini e associare più eventi pubblicitari a uno stesso dispositivo. L’elemento critico è che alcune informazioni possono essere condivise con i partecipanti all’asta anche quando questi non acquistano lo spazio pubblicitario, ampliando il rischio di raccolta sistematica dei dati.

Nel caso SHADOW-EARTH-79, i ricercatori hanno analizzato anche componenti JavaScript e interfacce dell’infrastruttura, individuando funzionalità compatibili con attività di identificazione dei dispositivi, raccolta degli indirizzi IP e monitoraggio degli utenti. TrendAI ritiene, con un livello di fiducia definito moderato-alto, che la combinazione fra concentrazione geografica delle aste e caratteristiche dell’infrastruttura sia più coerente con una piattaforma destinata a tracciamento e intelligence che con un normale operatore pubblicitario. Questa conclusione non identifica tuttavia un committente governativo e non dimostra che ogni utente raggiunto sia stato effettivamente sottoposto a sorveglianza individuale. Le possibili applicazioni comprendono la raccolta preventiva di informazioni, l’identificazione di soggetti di interesse e la selezione di dispositivi sui quali tentare ulteriori attività offensive. Il problema coinvolge quindi l’intera filiera pubblicitaria, perché l’infrastruttura costruita per personalizzare gli annunci può diventare uno strumento di raccolta informativa su scala internazionale, senza richiedere la compromissione preventiva del browser o del servizio Internet utilizzato.

Citizen Lab collega Discover-Tech allo spyware Candiru e agli attacchi zero-click

Le informazioni raccolte da Reuters assumono maggiore significato se confrontate con il rapporto Exposing AdFection pubblicato da Citizen Lab il 15 ottobre. Il centro di ricerca dell’Università di Toronto ha documentato una tecnica denominata AdFection, nella quale le inserzioni pubblicitarie vengono utilizzate per raggiungere dispositivi selezionati ed eventualmente distribuire spyware senza richiedere alcuna interazione dell’utente. Gli analisti hanno associato l’infrastruttura di Discover-Tech a una piattaforma chiamata Controlium, descritta come un sistema capace di combinare identificazione, profilazione e selezione dei dispositivi da compromettere. La ricerca ha collegato con elevata confidenza le campagne pubblicitarie a operazioni condotte attraverso Candiru, società israeliana specializzata in strumenti di sorveglianza commerciale, oggi indicata anche con il nome Integrity Labs. La documentazione comprende attacchi contro almeno 45 dispositivi Windows appartenenti ad Al Jazeera, individuati attraverso i registri di rete della testata e associati ad attività risalenti al 2024 e 2025.

Citizen Lab ha analizzato quasi quattro miliardi di registrazioni relative alle aste pubblicitarie di Discover-Tech, individuando annunci visualizzati su 120.768 siti web e 75.373 applicazioni mobili tra marzo e giugno 2026. La portata della diffusione non deve essere confusa con il numero dei dispositivi compromessi: la maggior parte delle visualizzazioni non corrisponde necessariamente a un tentativo di installare spyware. La ricerca mostra però come un’infrastruttura pubblicitaria apparentemente ordinaria possa offrire la capacità di raggiungere dispositivi appartenenti a organizzazioni sensibili. Nel campione compaiono anche due organizzazioni mediatiche italiane non identificate pubblicamente, oltre a reti appartenenti a governi, società tecnologiche e istituzioni internazionali. Parallelamente, Confiant ha documentato nella ricerca ADINT la presenza di codice capace di raccogliere cookie e altri identificativi, collegando parte dell’infrastruttura pubblicitaria a sistemi associati a Candiru. Gli attacchi contro Al Jazeera sono documentati, mentre il collegamento di queste specifiche infezioni agli utenti Starlink rimane non dimostrato: la nuova indagine riguarda soprattutto la scelta anomala dei destinatari delle campagne pubblicitarie satellitari.

Continua con: Israele ha già sostituito NSO: Candiru ha spiato giornalisti grazie a zero-day su Chrome

Google e Comcast escludono Discover-Tech, resta il problema dei dati pubblicitari

Le precedenti indagini di Citizen Lab e Confiant hanno prodotto anche conseguenze operative nel mercato della pubblicità digitale. Google ha rimosso Discover-Tech dalle proprie piattaforme pubblicitarie per violazioni delle regole, mentre Comcast, attraverso la controllata Beeswax, ha interrotto l’accesso della società ai propri servizi. Anche IAB Europe ha sospeso Discover-Tech dall’elenco dei fornitori approvati dopo aver individuato violazioni delle proprie politiche. Secondo Reuters, almeno una grande azienda tecnologica statunitense e un’organizzazione internazionale avrebbero inoltre avviato verifiche interne per accertare se i rispettivi dipendenti fossero stati raggiunti dalle campagne pubblicitarie attribuite alla società. Discover-Tech e SpaceX non hanno risposto alle richieste di commento inviate dall’agenzia, mentre TrendAI ha difeso la propria scelta di utilizzare un identificativo convenzionale per evitare attribuzioni pubbliche potenzialmente inesatte.

Per le organizzazioni che utilizzano Starlink in contesti sensibili, la ricerca suggerisce di trattare il traffico pubblicitario come una possibile fonte di esposizione informativa. Le raccomandazioni di TrendAI comprendono limitare le applicazioni finanziate dalla pubblicità sui dispositivi operativi, ridurre la personalizzazione degli annunci, reimpostare gli identificativi pubblicitari e filtrare i contenuti provenienti da circuiti non attendibili. Per gli utenti maggiormente esposti vengono suggerite anche protezioni rafforzate del dispositivo, come Lockdown Mode sugli iPhone compatibili. Queste misure non eliminano tutte le possibilità di tracciamento, ma possono ridurre la quantità di informazioni accessibili attraverso gli ecosistemi pubblicitari. La questione centrale riguarda la sicurezza strutturale del mercato dell’advertising: un sistema progettato per individuare il consumatore più adatto a ricevere un annuncio può essere utilizzato per identificare persone che avrebbero interesse a non essere localizzate, soprattutto quando si trovano in zone di guerra o operano per testate giornalistiche, istituzioni e organizzazioni sensibili. Il caso Discover-Tech rende evidente quanto la raccolta commerciale dei dati e la sorveglianza digitale possano utilizzare infrastrutture tecnologiche sostanzialmente identiche.