Os anúncios que você vê estão rastreando sua localização. Agora existe um site grátis que mostra exatamente quem está te seguindo
Como usar a ferramenta DecryptAds para descobrir quem coleta seus dados em qualquer site, o que ela já revelou sobre ESPN e Opera, e como bloquear o rastreamento hoje.
Comecemos pelo achado que deveria estar em capa de jornal e não está.
Os sites de notícias militares dos Estados Unidos, armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com e federaltimes.com, autorizam uma empresa chamada Between Digital a exibir anúncios e rastrear seus visitantes.
A Between Digital lista um endereço em Nova York. Mas, segundo o dossiê da DecryptAds reportado por Brian Krebs, a empresa é russa: suas ofertas para publishers são processadas através do Alfa Bank, o maior banco privado da Rússia, sob sanção dos Estados Unidos desde 2022, quando a Rússia invadiu a Ucrânia.
Os mesmos sites também autorizam duas entidades nos Emirados Árabes e uma no Panamá.
O leitor desses sites é, majoritariamente, militar americano na ativa, veterano, funcionário do Departamento de Defesa e contratado de defesa.
Ninguém invadiu nada. Está tudo declarado, publicamente, num arquivo de texto que qualquer pessoa pode abrir há anos.
Se essa informação sempre esteve aberta, por que ninguém tinha olhado?
Porque olhar exigia cruzar quatro tipos de arquivo em milhões de domínios
A resposta é entediante e é exatamente por isso que funcionou por tanto tempo.
Todo site e todo aplicativo publicam arquivos padronizados declarando quem tem permissão para vender publicidade e coletar dados ali. São quatro:
ads.txt, com todas as empresas de adtech e corretoras de dados que podem exibir anúncio ou coletar dado do site. app-ads.txt, o equivalente para aplicativos de celular e smart TV. buyers.json e sellers.json, com quem compra, vende e revende o inventário.
Está tudo lá. Sempre esteve. O problema é que um arquivo isolado não diz nada. O sentido só aparece no cruzamento, e o cruzamento exige rastrear o planeta inteiro.
Em 12 de agosto de 2026, a DecryptAds foi ao ar com 284 milhões de registros da cadeia de suprimentos publicitária, atualizados continuamente, consultáveis por qualquer pessoa, de graça, com API e servidor MCP para quem quiser automatizar.
Zach Edwards, diretor de pesquisa da DecryptAds e pesquisador de ameaças na Infoblox, resumiu a proposta ao Krebs: “É uma ferramenta de adtech, mas estamos abordando adtech de uma perspectiva de segurança.”
E deu a frase que explica a última década inteira: “O problema que temos agora é que por anos praticamente ninguém fiscalizou esses arquivos ads.txt e app-ads.txt.”
Ninguém. Por anos. Num setor de 127 bilhões de dólares.
O que aparece quando você digita um site conhecido
Krebs consultou o espn.com. Resultado: 143 parceiros de publicidade e 19 domínios de corretoras de dados registradas.
Quase metade dessas corretoras coleta geolocalização dos visitantes que não estão bloqueando anúncios. Outras três declaram coletar impressão digital de dispositivo e informação pessoal sensível.
Um site de esportes. Cento e quarenta e três parceiros.
E quatro deles estão sediados na Rússia, na China ou nos Emirados Árabes.
Aí vem o navegador Opera, que muita gente ainda usa sem saber que ele é controlado desde 2016 pela chinesa Kunlun Tech, embora a operação siga em Oslo.
O perfil do opera.com na DecryptAds mostra 27 corretoras de dados registradas coletando informação, incluindo 15 parceiros de adtech nos Emirados Árabes, seis na China, três no Chipre, dois na Rússia, um em Hong Kong e um na Ucrânia.
E o detalhe que muda a escala: essas empresas representam 7% dos parceiros de adtech declarados nos arquivos do Opera.
Sete por cento. O resto ainda nem foi olhado.
O truque de estar dos dois lados do leilão
A Between Digital coleta dados de anúncio em aproximadamente 55 mil sites parceiros.
E as próprias declarações dela mostram que ela aparece como publisher e como revendedora em cerca de dois terços do portfólio.
Edwards explicou o que isso significa: “Quer dizer que eles estão basicamente jogando dos dois lados da equação de lances, o que cria oportunidades de direcionar o gasto do cliente para propriedades próprias, essencialmente criando oportunidades de conflito de interesse.”
Traduzindo para o português do dono de verba: você paga uma empresa para comprar mídia para você, e ela compra de si mesma, no site dela, com o seu dinheiro, sem te contar.
Se um corretor de imóveis fizesse isso, teria nome no Código Penal. Em adtech, tem nome de modelo de negócio.
E pivotando no arquivo app-ads.txt da empresa aparecem centenas de domínios com joguinhos web simples, daqueles interrompidos por anúncio a cada trinta segundos. O ecossistema completo, do leilão à isca.
A “remoção silenciosa”, que é a parte mais suja
Esta é a funcionalidade que eu acho mais reveladora de todas, e ela expõe uma prática que o setor nunca admitiu em público.
Quando uma rede de anúncios suspeita que um parceiro está gerando cliques falsos ou distribuindo anúncio malicioso, ela normalmente remove o sujeito da lista de parceiros aprovados sem avisar ninguém.
Sem comunicado. Sem alerta ao mercado. Sem contar aos outros publishers que continuam usando o mesmo fornecedor.
“O jeito como a indústria de adtech funciona, alguém escreve um relatório sobre fraude publicitária e só compartilha com os próprios clientes, e não torna aquilo público”, disse Edwards. “O banimento é só remover do arquivo sellers.json, mas eles não contaram para ninguém. Um dia estava lá, no outro sumiu.”
A DecryptAds criou um feed de remoções silenciosas que registra e correlaciona todas essas exclusões entre as diferentes bolsas de anúncio.
Ou seja: o setor tinha um sistema de listas negras privadas que funcionava como reputação secreta, disponível só para quem pagava. Acabou de virar público.
Repare no incentivo que isso desmonta. Enquanto o banimento era silencioso, a empresa expulsa de uma bolsa simplesmente ia operar na bolsa seguinte, e o publisher da esquina não tinha como saber. A opacidade não era um efeito colateral. Era o produto que mantinha a máquina girando.
Anúncio malicioso mudou de endereço, e o novo endereço é o conteúdo de IA
Aqui a história encontra a outra grande tendência do momento.
Malvertising, a prática de injetar anúncios que instalam malware ou levam a páginas de phishing, migrou. Não está mais principalmente nos sites grandes, que contratam camadas de proteção.
“Nenhuma dessas fazendas de conteúdo de IA paga por esse tipo de proteção”, disse Edwards. “Elas simplesmente contratam os parceiros de menor qualidade, e aquilo vira essencialmente um trilho engraxado para atacar os usuários daqueles sites com anúncios maliciosos. A maioria dos ataques de malvertising não acontece no espn.com ou no huffpost.com, e sim em alguma fazenda de conteúdo de baixa qualidade onde a pessoa entrou porque apareceu na busca.”
Os sites de slop cobrem reforma, decoração, receita, caça, carro e tecnologia de consumo. Texto e imagem gerados por máquina, monetizados pelos piores parceiros disponíveis, indexados pelo Google, e encontrados por gente procurando como consertar uma torneira.
E tem o caso do hardware, que junta tudo numa figura só. A Bitsight descobriu que os populares aparelhos de streaming H96 alugam a conexão de internet do dono para estranhos e, quando não estão transmitindo pirataria, se passam por celulares clicando em anúncios de sites de slop gerados por IA. A mesma empresa chinesa que fez os aplicativos do aparelho, o Fengwo Group, também operava a rede de sites que estava recebendo os cliques.
O aparelho na sua sala, fingindo ser um celular, clicando num site que não existe, para movimentar dinheiro que sai da verba de alguma marca.
Um circuito fechado de fraude, em que a única coisa real é a fatura.
A peça que falta, e por que ela é escondida de propósito
Edwards apontou o buraco que impede resolver o problema, e vale entender porque é aqui que a conversa vai ficar nos próximos dois anos.
Existe uma estrutura de dados chamada supply chain object, ou SCO, anexada a cada requisição de lance publicitário. Ela lista cada vendedor, revendedor e intermediário envolvido em passar aquela impressão do publisher até o comprador final.
As grandes plataformas não compartilham isso amplamente. O SCO só trafega do lado do servidor.
“Esse SCO te diz quem vendeu ou revendeu, e qual foi a entidade final que comprou a impressão que serviu o payload de malware”, explicou Edwards. “Você pode ver o redirecionamento malicioso de clique zero, mas sem o supply chain object você não vai saber quem atacou o seu pessoal com malware e não vai ter como prevenir direito.”
E aí ele solta a frase que deveria acordar qualquer diretor de segurança: “Muitas organizações sérias estão começando a entender que, se a gente não destrinchar esses dados de anúncio, não vamos saber quem está atacando gente do governo com payloads de clique zero quase diariamente.”
Quase diariamente.
O contexto que dá tamanho ao problema
Para quem está chegando agora nessa conversa, os números de fundo.
O Irish Council for Civil Liberties calcula que a indústria de Real-Time Bidding, o leilão instantâneo que decide qual anúncio você vê, movimenta 127 bilhões de dólares e transmite o que as pessoas veem online e onde elas estão 178 trilhões de vezes por ano só nos Estados Unidos e na Europa.
Cada requisição de lance pode carregar coordenadas de GPS, endereço IP, detalhes do aparelho e interesses inferidos. Isso se chama bidstream data e costuma incluir identificadores vinculáveis a pessoas reais.
A ferramenta de vigilância Patternz, construída sobre esses dados, foi vendida a agências de segurança pelo mundo como forma de rastrear localização de pessoas. A empresa alegou ter perfilado 5 bilhões de pessoas.
E a EFF documentou que agências federais americanas, incluindo ICE, CBP e FBI, compraram dados de localização de corretoras cujas fontes provavelmente incluem RTB. Sem mandado. Porque comprar não exige mandado.
É a lavagem jurídica perfeita: o Estado não pode te vigiar sem autorização judicial, mas pode comprar de quem te vigiou por conta própria.
O recorte brasileiro, e ele é desanimador
Agora a parte que ninguém vai escrever em português, então vamos com franqueza.
Tudo o que a DecryptAds conseguiu montar depende de duas coisas: os arquivos declaratórios do setor, que são globais, e registros públicos obrigatórios de corretoras de dados.
Essa segunda parte existe porque quatro estados americanos, Califórnia, Oregon, Texas e Vermont, aprovaram leis obrigando corretoras de dados a se registrar se compram ou vendem dados de consumidores daqueles estados.
No Brasil não existe nada disso.
A LGPD garante direitos ao titular, exige base legal e prevê o direito de saber com quem seus dados foram compartilhados. Mas não existe registro público de corretoras de dados operando no país. Não existe lista consultável. Não existe obrigação de declarar.
Ou seja: você pode consultar o ads.txt de um site brasileiro na DecryptAds e ver os parceiros de adtech, porque esse arquivo é padrão global. Mas a camada de identificação das corretoras, que é o que transforma uma sigla técnica em “esta empresa coleta sua geolocalização”, depende de um registro que aqui não existe.
Nós temos a metade da transparência que permite fazer a pergunta e nenhuma parte da que permite responder.
E a ANPD, que teria competência para criar esse registro, segue sem se pronunciar sobre RTB, apesar de o leilão instantâneo transmitir dado de localização de brasileiro milhões de vezes por dia, com base legal que ninguém nunca explicou direito.
O que você pode fazer, hoje, sem esperar regulador
A parte útil, na ordem de retorno.
Bloqueie anúncios. Ponto. É a recomendação de Krebs e de praticamente todo especialista em segurança, e não é sobre estética. Bloquear anúncio dificulta que adtechs e corretoras montem perfil detalhado seu e rastreiem seus movimentos na web e no mundo físico.
No desktop, uBlock Origin Lite, gratuito e de código aberto. No Firefox móvel, o uBlock Origin funciona, mas aparentemente só no Android. No iPhone e iPad, AdBlock Plus resolve. Para quem quer mais controle, ambos aceitam listas customizadas do easylist.to.
NoScript bloqueia todo JavaScript não aprovado e derruba a maior parte dos anúncios, mas exige que você fique arbitrando o que pode carregar em cada site. Não é para todo mundo.
A solução mais eficiente é de rede, não de navegador. Um Raspberry Pi com Pi-hole bloqueia anúncio para todos os aparelhos da casa, incluindo a TV, o celular do adolescente e a geladeira conectada que você comprou sem pensar. É a opção mais barata, mais segura e mais escalável, e custa menos que dois meses de streaming.
Cuidado com aplicativo. Bloqueador de anúncio faz pouco contra rastreamento dentro de app instalado. E aqui está a razão real pela qual todo site insiste que você baixe o aplicativo dele: não é experiência do usuário. É que o app coleta dado muito mais preciso sobre quem, o quê e onde você é, e revende. Quando houver escolha, use o navegador.
Consulte os sites que você usa. A DecryptAds é gratuita. Digite o domínio do seu banco, do seu jornal, do site que seu filho acessa. Veja quantos parceiros aparecem e quantos coletam geolocalização. Leva dois minutos e muda permanentemente a sua relação com a barra de endereço.
E se você tem site ou app: abra o seu próprio ads.txt. Agora. Você provavelmente vai encontrar parceiros que entraram por rede de terceiros e que você nunca aprovou conscientemente. Essa lista é sua responsabilidade jurídica sob a LGPD, e a chance de você nunca ter lido é altíssima.
Quem ganha e quem perde
Ganhava, até 12 de agosto, todo mundo que dependia de opacidade. Revendedores que operavam dos dois lados do leilão, adtechs sancionadas com endereço de fachada em Nova York, redes que baniam parceiro em silêncio para não estragar a própria reputação.
Perde, a partir de agora, quem apostou que ninguém ia cruzar os arquivos. Não porque a informação vazou. Porque alguém finalmente leu.
Ganha o pesquisador de segurança, que passou anos tentando explicar isso sem conseguir mostrar.
E ganha, curiosamente, o anunciante honesto, que agora tem como auditar para onde a verba dele está indo, o que nenhuma agência jamais ofereceu de forma verificável.
Perde o usuário comum, que continua perdendo, só que agora com documentação.
O fecho
A parte mais constrangedora dessa história não é a empresa russa nos sites do Exército americano.
É que ela estava declarada, num arquivo de texto aberto, em endereço público, no formato padrão do setor, durante anos.
A vigilância não estava escondida. Estava entediante.
Foi essa a inovação real do sistema de publicidade digital: descobrir que a melhor forma de esconder uma coisa é publicá-la em volume, em formato ilegível, distribuída em milhões de arquivos que ninguém tem incentivo econômico para cruzar.
Transparência sem ferramenta de leitura não é transparência. É camuflagem com selo de conformidade.
E levou um site gratuito, feito por três pessoas, para desfazer isso.
Três perguntas antes de você fechar a aba.
Você sabe quantos parceiros de publicidade estão declarados no ads.txt da sua empresa, e quem os aprovou?
Se um funcionário seu for atacado por um anúncio malicioso, você tem como descobrir qual intermediário vendeu aquela impressão, ou vai fazer o que todo mundo faz e mandar todo mundo trocar a senha?
E se agências americanas compram localização de corretora para não precisar de mandado, o que impede exatamente a mesma compra aqui, onde nem sequer existe registro de quem são as corretoras?
Se você chegou até aqui, você é do tipo que quer o bastidor, não o palco.
A Tech Gossip publica toda semana o que o comunicado de imprensa não conta: quem ganha poder, dinheiro e influência com a tecnologia que acabou de ser anunciada.
Assine em www.techgossip.com.br
A história oficial é sempre a versão que sobreviveu ao comunicado de imprensa.
Fontes: 404 Media, Joseph Cox, 12/08/2026 · Krebs on Security, 14/08/2026 · DecryptAds, anúncio de lançamento · Irish Council for Civil Liberties, escala do RTB · Electronic Frontier Foundation, sobre CBP e publicidade direcionada · Krebs on Security, sobre os aparelhos H96