A prática de malvertising está passando por uma transformação significativa, migrando de campanhas baseadas em conteúdo enganoso visível para infraestruturas complexas e armadas. Uma parcela crescente da atividade publicitária maliciosa agora depende do que ocorre após o clique: cadeias de redirecionamento, domínios descartáveis, sistemas de cloaking, entrega condicional e comportamento de campanha que pode mudar após a aprovação inicial.
Esta análise é baseada em dados de moderação de campanhas da PropellerAds, cobrindo campanhas revisadas durante o primeiro semestre de 2026. Em escala global, mudanças na infraestrutura de fraude tendem a se tornar visíveis nos dados antes de serem amplamente reconhecidas como tendência. O conjunto de dados revela que ameaças marcadas por malware e antivírus subiram de 8.408 campanhas rejeitadas no Q1 para 9.543 no Q2 — um aumento de 13% em termos absolutos, enquanto as rejeições totais caíram 42% (de 36.085 para 20.790).
O que mudou na composição das campanhas rejeitadas
Como parte de todas as rejeições, as ameaças técnicas foram de 23,3% para 45,9%, tornando-se a maior categoria. Grande parte desse deslocamento reflete violações de conteúdo adulto sendo filtradas mais cedo na moderação (de 47,8% para 5,3%). O ponto substantivo é que as ameaças técnicas continuaram crescendo enquanto as violações diretas de conteúdo colapsaram. Juntos, os números apontam para uma mudança marcada na composição das campanhas rejeitadas. Violações de conteúdo direto estão se tornando mais fáceis de parar mais cedo na moderação, enquanto uma maior parte das rejeições agora envolve ameaças técnicas que são mais difíceis de avaliar através de uma única verificação estática.
Dados independentes da indústria mostraram o mesmo deslocamento um ano antes. A GeoEdge encontrou ataques baseados em redirecimento subindo de 48% da atividade maliciosa no Q1 de 2025 para 66% no Q2 de 2025, enquanto a atividade de anúncios maliciosos dobrou nos cinco maiores mercados monitorados. A telemetria de ameaças do Google para o H1 de 2026, por sua vez, encontrou que o malvertising representou quase 30% de suas detecções de ameaça, destacando quão de perto a publicidade maliciosa agora se sobrepõe ao cenário mais amplo de segurança cibernética do consumidor.
A infraestrutura fraudulenta segue a economia do mercado
As observações do segundo trimestre também sugerem que a economia do tráfego pode influenciar a forma como a publicidade maliciosa se apresenta — e que a distinção é econômica tanto quanto geográfica. Em mercados de alto pagamento, incluindo geografias Tier-1 como EUA e Reino Unido, valores mais altos de CPC e CPA podem suportar maior investimento em infraestrutura de evasão: cadeias de redirecionamento mais longas, múltiplos domínios e cloaking mais profundo. A lógica econômica favorece a persistência — sobreviver ao escrutínio tempo suficiente para extrair maior valor de cada conversão bem-sucedida.
Para defensores, isso torna sinais como troca de destino, cloaking e reutilização de infraestrutura especialmente relevantes. Em mercados de baixo custo e alto volume, um modelo diferente se torna viável. A infraestrutura pode ser mais barata, mais fácil de replicar e mais fácil de descartar, com a lucratividade dependendo da distribuição de muitas tentativas em vez de projetar pesadamente um número menor de campanhas.
Em ambientes de alto volume, sinais de replicação — domínios mudando rapidamente, modelos reutilizáveis e grandes clusters de campanhas semelhantes — podem, portanto, importar mais. Ambos os modelos dependem cada vez mais de infraestrutura em vez de uma única página enganosa. Eles apenas otimizam essa infraestrutura para condições diferentes: persistência em um caso, escala e substituíbilidade no outro.
Redirecionamentos multi-hop criam problema de visibilidade
Cadeias de redirecionamento separam o ponto onde um usuário entra em uma campanha do ponto onde o comportamento malicioso ocorre. O caminho pode incluir vários domínios intermediários, serviços de rastreamento, redirecionamentos condicionais ou outras camadas de roteamento antes que o usuário alcance o destino final. Cada salto adicional cria outra oportunidade para alterar o comportamento. Um domínio pode existir para rastreamento, outro para verificação de dispositivo ou localização, outro para decidir o destino final.
Alguns usuários podem ver uma página benigna enquanto outros são enviados para um endpoint malicioso. Isso complica a moderação de várias maneiras. O destino final pode não ser visível durante a revisão inicial. Domínios maliciosos podem ser de vida curta e substituídos uma vez bloqueados. A infraestrutura pode se comportar seletivamente de acordo com localização, dispositivo ou outras características do visitante. A própria cadeia também pode mudar com o tempo.
Dados da GeoEdge mostram novamente quão proeminente esta técnica se tornou: redirecionamentos automáticos representaram 66% da atividade de publicidade maliciosa em seu conjunto de dados do Q2 de 2025, enquanto 21% dos anúncios maliciosos usaram cloaking para ocultar seu verdadeiro conteúdo. A lacuna entre o que é verificado e o que um usuário alvo recebe é precisamente o que torna o cloaking e a entrega em etapas múltiplas eficazes.
A moderação precisa se tornar comportamental
Quando a publicidade maliciosa depende de comportamento em vez de conteúdo estático, a moderação deve seguir a mesma lógica. Verificações iniciais permanecem necessárias, mas são apenas uma parte do processo. Controles mais eficazes dependem cada vez mais de observação repetida: seguir cadeias de redirecionamento, comparar comportamento de campanha sob diferentes condições e revisar campanhas aprovadas anteriormente para alterações após o lançamento.
Sistemas automatizados importam porque o número de caminhos possíveis de campanha rapidamente excede o que a revisão manual pode examinar consistentemente. Investigação humana permanece necessária para casos ambíguos e novas técnicas, mas a automação torna a revisão repetida viável em escala. Os dados do Q2 também sugerem o quão rapidamente campanhas abusivas podem se adaptar a novos controles de moderação. Conteúdo adulto caiu de 47,8% para 5,3% das razões de rejeição de campanhas após filtros preventivos serem fortalecidos, mas apareceu como a segunda maior razão para suspensões de anunciantes, em 15,9%, no mesmo trimestre.
Uma interpretação é que alguns operadores ajustaram seus métodos para passar pela revisão inicial e expuseram conteúdo proibido apenas após as campanhas irem ao ar. Filtragem bem-sucedida pode, portanto, mudar onde uma violação surge em vez de remover o incentivo subjacente.
O que o ecossistema de publicidade deve monitorar
Para plataformas de publicidade, ameaças baseadas em infraestrutura significam olhar além de criativos submetidos e páginas de destino. Profundidade de redirecionamento, mudanças de destino, reutilização de infraestrutura, comportamento condicional e alterações pós-lançamento podem todos revelar riscos que uma verificação estática pode perder. Publicadores devem observar comportamento inesperado de redirecionamento e mudanças nos destinos de anunciantes.
Marcas e equipes de segurança devem monitorar domínios semelhantes, impersonação e caminhos de tráfego pago levando usuários a ativos fraudulentos. O contexto regional importa também. Um padrão associado à persistência e evasão complexa em um mercado de alto pagamento pode exigir controles diferentes de grandes clusters de campanhas de vida curta altamente replicáveis em um mercado de alto volume.
A moderação de anúncios pode atuar como sinal precoce de ameaça
A moderação de publicidade pode fornecer uma visão antecipada de abuso emergente porque novas técnicas de phishing podem já estar circulando por canais de anúncio antes de serem amplamente documentadas. Analistas da PropellerAds viram este padrão em fluxos de phishing do WhatsApp, onde atacantes usaram plataformas de mensagens familiares e mecanismos de vinculação de dispositivo ou autorização como parte de esquemas de tomada de conta de contas. Técnicas semelhantes apareceram posteriormente em relatórios públicos mais amplos de ameaças, incluindo campanhas de phishing do WhatsApp GhostPairing e Telegram usando cloaking e entrega seletiva.
Isso não torna os dados de moderação um sistema preditivo para cibercrime. Mas aparência repetida do mesmo mecanismo de entrega incomum ou padrão de infraestrutura em campanhas rejeitadas pode ser um sinal útil de inteligência de ameaça, não apenas uma estatística de moderação.
O que os executivos devem considerar
Uma plataforma de publicidade global não pode assumir que um perfil de fraude se aplica igualmente em todo lugar. Diferenças no preço do tráfego, estrutura de pagamento e escala alteram o que atacantes otimizam para — e o que defensores precisam observar. À medida que a detecção melhora na camada de conteúdo, o incentivo se desloca mais profundamente para redirecionamentos, domínios, entrega condicional e comportamento pós-lançamento.
Avaliar uma campanha significa cada vez mais perguntar não apenas o que um anúncio diz, mas o que ele faz — ao longo de toda a sua vida, não apenas no momento da aprovação. Para CISOs e líderes de segurança, isso implica a necessidade de integrar monitoramento de tráfego de publicidade nas estratégias de defesa perimetral e de endpoint, reconhecendo que o vetor de ataque pode começar legítimo e evoluir dinamicamente.