Malvertising: quando o próprio anúncio é o problema

A maior parte da publicidade é apenas incómoda. Uma pequena parte é perigosa, e essa parte tem nome próprio: malvertising, de "malicious advertising".

O truque está em que ninguém precisa de visitar um site duvidoso. Os anúncios são entregues por redes integradas em milhares de sites ao mesmo tempo — também nos sérios. Quem compra um anúncio compra espaço, não confiança. Se alguém conseguir passar um anúncio nocivo pela verificação de uma rede, ele aparece em páginas que nada fizeram de errado.

O que daí resulta é quase sempre uma de três coisas.

A primeira é o aviso falso. Surge uma janela a afirmar que o navegador está desatualizado, que falta um plug-in, que o computador está infetado. O botão por baixo não descarrega uma atualização, mas um programa. Isso funciona não porque as pessoas sejam crédulas, mas porque a mensagem está exatamente onde costumam estar as mensagens verdadeiras.

A segunda é o reencaminhamento. Um clique em qualquer ponto da página — ou nenhum — abre uma janela nova com um endereço parecido com o de uma marca conhecida. Dali segue-se em frente, muitas vezes por várias etapas, para que o caminho seja difícil de refazer.

A terceira é a silenciosa: o anúncio carrega código que procura uma falha no navegador. Se não a encontrar, nada acontece e ninguém dá por isso. Se a encontrar, o utilizador não clicou em coisa nenhuma.

Um bloqueador de anúncios ajuda num ponto exato, e esse ponto não deve ser feito maior do que é: impede que o anúncio chegue sequer a ser carregado. O que não é carregado não pode abrir janelas, não reencaminha para lado nenhum e não procura falhas. É eficaz porque age cedo — mas não é um antivírus. Um bloqueador não examina ficheiros, não reconhece software malicioso e deixa de fazer seja o que for assim que algo foi descarregado.

O segundo ponto onde se pode agir é o endereço. Quem chega a uma página construída para se parecer com outra conhecida muitas vezes não vê a diferença: entre um "a" latino e um cirílico não há nada que se distinga a olho nu. Um aviso antes de se escrever seja o que for vale ali mais do que qualquer explicação depois.

Os dois juntos não cobrem tudo. Cobrem o caminho que o malvertising percorre com mais frequência — e esse caminho começa quase sempre com um anúncio que é carregado.