A proliferação de redes de publicidade digital e corretores de dados sem auditoria formal transformou a infraestrutura de adtech em um vetor crítico de ameaças à segurança corporativa. O cruzamento automatizado de registros públicos como ads.txt, app-ads.txt e sellers.json revela que grandes portais e aplicações móveis frequentemente autorizam centenas de intermediários desconhecidos, abrindo caminho para campanhas de malvertising, coleta indevida de dados telemétricos e redirecionamentos para infraestruturas maliciosas.
O que está em jogo
O ecossistema de publicidade programática opera por meio de especificações mantidas pelo IAB Tech Lab, projetadas para combater fraudes de inventário. No entanto, a integridade dessa cadeia é comprometida pela falta de governança sobre parceiros autorizados. Quando um portal insere centenas de linhas em seu arquivo ads.txt sem validação contínua, concede autorização para que revendedores e ad exchanges negociem espaços publicitários em seu nome. A ausência de fiscalização permite que redes com sede em jurisdições de alto risco operem como intermediárias financeiras e técnicas, capturando impressões e telemetria de dispositivos.
No Brasil, o cenário afeta diretamente a privacidade e a segurança defensiva corporativa. Sob a ótica da Lei Geral de Proteção de Dados (LGPD), a coleta não autorizada de impressões digitais de dispositivos e dados de geolocalização por corretores não auditados configura violação de conformidade. Para equipes de SOC, o risco principal reside em campanhas de malvertising voltadas ao público brasileiro, onde trojans bancários e ladrões de credenciais utilizam redes de anúncios de baixo custo ou fazendas de conteúdo geradas por inteligência artificial para contornar filtros e distribuir cargas maliciosas sem exigir interação profunda da vítima.
Versões e condição
O risco não decorre de uma vulnerabilidade isolada com registro de CVE, mas sim de uma fraqueza arquitetural na confiança transitiva da cadeia de fornecedores (relacionada ao conceito do CWE-829, inclusão de funcionalidade de esfera de controle não confiável). As especificações envolvidas incluem ads.txt (versões 1.0 e 1.1), app-ads.txt e a declaração sellers.json do IAB Tech Lab.
A condição primária de exposição ocorre quando empresas deixam de validar a correspondência entre seus arquivos declarativos e as operações reais em logs de lances. Um dos maiores pontos cegos é a retenção de intermediários suspensos silenciosamente (quiet removals), onde plataformas de adtech removem um revendedor fraudulento de seus arquivos sellers.json, mas os publicadores mantêm a autorização ativa no ads.txt. Adicionalmente, a falta de exposição do objeto de cadeia de suprimentos (Supply Chain Object, ou SCO) no protocolo OpenRTB impede que defensores mapeiem com precisão o caminho percorrido por um payload malicioso até o navegador final.
Como conferir
Equipes de AppSec e engenharia web devem auditar a integridade de seus domínios realizando a extração e validação dos arquivos publicados na raiz do servidor web:
Para o inventário próprio, verifique a consistência executando verificações automatizadas que comparem cada entrada de ads.txt com o sellers.json dos respectivos sistemas de troca (ad exchanges). Identifique registros órfãos, IDs de revendedores inexistentes ou parceiros sediados em regiões sob sanção internacional. Em paralelo, analistas de SOC devem cruzar os logs de DNS e tráfego web corporativo contra listas de entidades publicitárias associadas a redes de redirecionamento suspeito e corretores de dados agressivos.
O que fazer agora
- Higienizar imediatamente os arquivos ads.txt e app-ads.txt dos domínios da organização, removendo identificadores obsoletos e restringindo o inventário a revendedores diretos (marcar relacionamento como DIRECT sempre que aplicável).
- Implementar filtragem de DNS no nível de rede corporativa para neutralizar requisições a domínios de telemetria invasiva, redes de anúncios não confiáveis e fazendas de conteúdo automatizadas.
- Exigir contratualmente de parceiros de mídia a visibilidade do Supply Chain Object (SCO) em transações programáticas para permitir a rastreabilidade em incidentes de malvertising.
- Adotar políticas de isolamento de navegador (RBI) ou extensões de controle estrito de scripts em estações de trabalho de usuários com acesso privilegiado.
- Auditar aplicativos móveis internos para garantir que bibliotecas de terceiros (SDKs de publicidade e análise) não compartilhem identificadores de dispositivos com terceiros sem consentimento.