{"id":30921,"date":"2026-08-17T14:54:28","date_gmt":"2026-08-17T12:54:28","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=30921"},"modified":"2026-08-17T14:54:50","modified_gmt":"2026-08-17T12:54:50","slug":"adform-compromise-malicious-ads-cryptocurrency-theft","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/adform-compromise-malicious-ads-cryptocurrency-theft\/30921\/","title":{"rendered":"Un miliardo di impressioni rischiose: cose da imparare dall’attacco subito da Adform"},"content":{"rendered":"

Adform, una delle principali piattaforme pubblicitarie, \u00e8 rimasta compromessa per circa 24 ore dalla fine del 26 luglio alla sera del 27 luglio dopo aver subito un attacco da sconosciuti. Poche persone al di fuori del settore riconoscono questo nome, ma Adform pubblica circa 1,5 miliardi di impressioni di annunci ogni giorno<\/a> su decine di migliaia di siti web. Ci\u00f2 significa che chiunque abbia visitato qualsiasi sito che esegue annunci Adform avrebbe potuto essere preso di mira.<\/p>\n

Gli hacker non hanno tentato di installare un malware. Al contrario, hanno eseguito uno script nel browser della vittima che controllava gli appunti ogni tre secondi e, se rilevava che l\u2019indirizzo di un portafoglio di criptovalute era stato copiato, lo sostituivano con l\u2019indirizzo del portafoglio degli hacker. Pertanto, se qualcuno aveva un sito con l\u2019annuncio dannoso aperto in una scheda del browser e stava effettuando una transazione in criptovalute in un\u2019altra scheda o in un\u2019app dedicata, i fondi sarebbero potuti finire nelle tasche degli hacker. I proprietari di Adform hanno individuato l\u2019attacco e risolto il problema, ma non vi \u00e8 alcuna garanzia che un incidente simile non possa ripetersi, motivo per cui ogni utente dovrebbe difendersi dal malvertising<\/a>. Dai un\u2019occhiata ai nostri suggerimenti alla fine di questo post.<\/p>\n

Cosa sappiamo dell\u2019attacco subito da Adform<\/h2>\n

Non abbiamo molte informazioni a disposizione, dal momento che il comunicato ufficiale dell\u2019azienda<\/a> si limita a rendere noto cosa \u00e8 successo e quando, senza spiegare troppo la causa principale dell\u2019incidente. Una ricerca indipendente<\/a> ha portato alla luce dettagli tecnici sul modo in cui sono stati presi di mira gli utenti ordinari, ma nulla di tutto ci\u00f2 spiega come si sia svolto in primo luogo l\u2019attacco ad Adform.<\/p>\n

Quello che \u00e8 chiaro \u00e8 che gli hacker hanno inserito il proprio codice nel JavaScript caricato in ogni sito che esegue annunci Adform. Ogni volta che un annuncio stava per essere visualizzato, lo script veniva caricato dal server Adform, selezionava l\u2019annuncio corretto e lo mostrava, ma gli hacker avevano aggiunto una serie di funzioni dannose: monitoraggio degli appunti, invio di dati sul sito in cui si \u00e8 verificato l\u2019incontro e l\u2019indirizzo IP della vittima al proprio server, nonch\u00e9 lo scambio degli indirizzi dei wallet Bitcoin, Ethereum e Tron.<\/p>\n

Per farlo funzionare era sufficiente avere qualsiasi sito con annunci pubblicati da Adform aperti in una scheda del browser. Non importava che tipo di sito fosse, che aspetto avesse l\u2019annuncio o a quale inserzionista appartenesse. L\u2019unica cosa che contava era se il sito funzionava tramite HTTP o HTTPS. Secondo Adform, l\u2019attacco falliva se un sito veniva caricato tramite HTTPS, poich\u00e9 la connessione al server degli hacker in questo caso veniva bloccata.<\/p>\n

L\u2019azienda non ha condiviso informazioni sul numero di utenti interessati o sul numero di siti che pubblicano ancora i propri contenuti e annunci su HTTP.<\/p>\n

Gli annunci dannosi sono all\u2019ordine del giorno<\/h2>\n

Sfortunatamente, gli annunci online pericolosi sono diventati un problema sistemico. E non stiamo parlando solo di annunci imprecisi di integratori o promozioni di giochi a distanza, ci riferiamo agli annunci che diffondono malware o rimandano a siti progettati per rubare dettagli di pagamento e altri dati preziosi. A tale scopo, gli aggressori hanno creato un\u2019infrastruttura su scala industriale e utilizzano diversi approcci.<\/p>\n