.webp){kind=small}
Pode ser assustador determinar quem é responsável por exibir anúncios nos sites que visitamos ou quem está coletando dados dos aplicativos móveis que usamos diariamente. Essas informações já são semipúblicas, mas não são facilmente analisadas e, tradicionalmente, grande parte delas permanece restrita às grandes plataformas de publicidade. Isso está mudando: um novo serviço poderoso e gratuito chamado DecryptAds extrai e correlaciona esses dados de tecnologia de anúncios e facilita a obtenção rápida de informações sobre as entidades que estão rastreando você. Um resumo do Decryptads sobre as parcerias de publicidade declaradas pela espn.com. O recém-lançado decryptads.com afirma que está constantemente extraindo os arquivos que sites e aplicativos disponibilizam publicamente para revelar as empresas autorizadas a veicular anúncios ou coletar dados do usuário.
Esses arquivos incluem: – ads.txt: todas as empresas de tecnologia de anúncios e corretores de dados que podem veicular anúncios ou coletar dados do site; – app-ads.txt: entidades que podem coletar dados ou exibir anúncios em aplicativos para dispositivos móveis e smart TVs; – buyers.json/sellers.json: as entidades que compram, vendem ou revendem inventário de anúncios para um determinado site ou aplicativo. Zach Edwards é diretor de pesquisa da DecryptAds e pesquisador de ameaças na empresa de segurança Infoblox. Edwards disse que ele e outros dois fundadores decidiram que o serviço era necessário porque os dados de tecnologia de anúncios nesses arquivos geralmente só são úteis quando podem ser cruzados para construir uma visão mais completa do ecossistema de publicidade para cada site ou aplicativo.
"É uma ferramenta de tecnologia de anúncios, mas estamos tentando abordar a tecnologia de anúncios de uma perspectiva de segurança", disse Edwards. "Ela foi realmente criada para muitos casos de uso de privacidade e segurança que foram dramaticamente negligenciados." Esses casos de uso, disse ele, incluem rastrear a origem de anúncios maliciosos que tentam impor malware a usuários específicos, identificar redes de anúncios localizadas em países adversários e detectar os enxames crescentes de sites e aplicativos de baixa qualidade gerados por IA. E, como demonstra o decryptads.com, essas potenciais ameaças à segurança e à privacidade são quase impossíveis de detectar apenas visualizando um único arquivo apps.txt ou app-ads.txt. “Problemas de integridade da cadeia de suprimentos raramente residem em um único arquivo”, explica o site.
“Eles aparecem como referências cruzadas quebradas entre os arquivos ads.txt, app-ads.txt e sellers.json; como conjuntos de declarações clonados em domínios não relacionados; como remoções de vendedores que só fazem sentido quando visualizadas em diferentes plataformas; e até mesmo como caminhos de fornecimento em registros de lances que nunca aparecem na lista de vendedores autorizados de nenhum editor.” Uma busca no DecryptAds pelo popularíssimo site de esportes espn.com revela que 143 parceiros de publicidade e 19 domínios de corretores de dados registrados estão listados em seus arquivos ads.txt e app-ads.txt.
Essas informações sobre corretores de dados estão se tornando gradualmente disponíveis porque quatro estados — Califórnia, Oregon, Texas e Vermont — aprovaram recentemente leis que exigem que os corretores de dados se registrem se comprarem ou venderem dados de consumidores desses estados. A DecryptAds relata que quase metade dessas corretoras de dados coleta dados de geolocalização de visitantes do espn.com que não bloqueiam anúncios, enquanto outras três revelam que coletam impressões digitais de dispositivos e informações pessoais sensíveis. Uma representação visual da complexa cadeia de suprimentos de anúncios declarada pelo espn.com. Imagem: decryptads.com.
A DecryptAds também facilita a identificação dos beneficiários e das origens nacionais das empresas de publicidade presentes em aplicativos e sites, exibindo um aviso visível quando os parceiros de tecnologia de anúncios de um aplicativo ou site estão sediados em áreas de "risco geográfico", como China e Rússia, ou em países com fortes laços financeiros e políticos com ambos — como Chipre e os Emirados Árabes Unidos (EAU). De acordo com a DecryptAds, o espn.com trabalha com quatro entidades de publicidade diferentes sediadas na Rússia, China ou EAU, incluindo a empresa de tecnologia de anúncios Between Digital, que lista um endereço em Nova York.
No entanto, o dossiê sobre a Between Digital a identifica como uma empresa russa, mostrando que suas ofertas de editor (PDF) são processadas pelo Alfa Bank, o maior banco comercial privado da Rússia e uma das várias instituições financeiras sujeitas a sanções dos EUA em 2022, após a invasão da Ucrânia pela Rússia. O KrebsOnSecurity solicitou comentários da Between Digital e do fundador da empresa e atualizará esta matéria caso receba uma resposta. Uma busca por vários dos principais sites de notícias militares dos EUA — incluindo armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com e federaltimes.com — mostra que todos permitem que a Between Digital veicule anúncios e rastreie usuários, assim como duas entidades nos Emirados Árabes Unidos e outra no paraíso fiscal do Panamá.
O DecryptAds relata que a Between Digital está coletando dados de anúncios em aproximadamente 55.000 sites parceiros. A análise do arquivo app-ads.txt da Between Digital revela centenas de domínios com jogos online simples que são frequentemente interrompidos por anúncios. Edwards afirmou que as próprias declarações da Between Digital mostram que a empresa está listada como editora e revendedora em aproximadamente dois terços de seu portfólio. “Isso significa que eles estão basicamente jogando dos dois lados da equação de lances, o que cria oportunidades para direcionar os gastos dos clientes para suas propriedades próprias ou infraestrutura do cliente, essencialmente criando oportunidades para conflitos de interesse”, disse Edwards ao KrebsOnSecurity.
“O problema que temos agora é que, durante anos, quase ninguém fiscalizou esses arquivos ads.txt e app-ads.txt.” O navegador Opera continua bastante popular e provavelmente muitos usuários desconhecem que, desde 2016, ele é majoritariamente controlado pela empresa chinesa Kunlun Tech (a sede operacional do Opera permanece em Oslo, Noruega). O perfil do Opera.com no DecryptAds identifica 27 corretores de dados registrados que coletam informações, incluindo 15 parceiros de tecnologia de anúncios nos Emirados Árabes Unidos, seis na China, três no Chipre, dois na Rússia e um em Hong Kong e na Ucrânia. A DecryptAds deixa claro, no entanto, que essas empresas representam apenas sete por cento dos parceiros de tecnologia de publicidade especificados nos arquivos ads.txt e app-ads.txt do Opera.com.
Um recurso da DecryptAds que levou este autor a várias horas de pesquisa aprofundada é sua ferramenta de consulta do Dossiê Legal, que leva vários minutos para cada pesquisa, mas acaba fornecendo uma grande quantidade de informações úteis sobre quem é o proprietário de um determinado domínio ou aplicativo, quando foi registrado e quaisquer nomes alternativos ou relações que possa ter com empresas de tecnologia de publicidade e outros sites ou aplicativos.
