DecryptAds rende visibile l'invisibile: la supply chain…

DecryptAds rende leggibili i file ads.txt e sellers.json, rivelando legami invisibili tra siti mainstream, broker di dati e attori geopolitici nella supply chain

Il 19 agosto 2026 Zach Edwards, chief research officer di DecryptAds e threat researcher presso Infoblox, rende pubblico uno strumento gratuito che applica metodologia security all'adtech tradizionalmente opaca. DecryptAds scansiona e correla file ads.txt, app-ads.txt, buyers.json e sellers.json — i registri tecnici che governano la vendita programmatica di spazi pubblicitari — rivelando connessioni tra siti di prima fascia, broker di dati e entità con rischi geopolitici. La posta in gioco è il controllo individuale su un ecosistema di tracciamento finora accessibile solo a inserzionisti e piattaforme.

Punti chiave

DecryptAds effettua scraping continuo di ads.txt, app-ads.txt, buyers.json e sellers.json, rendendo interrogabili pubblicamente le relazioni nella supply chain pubblicitaria.
ESPN.com risulta con 143 ad partner e 19 data broker registrati; quasi la metà di questi ultimi raccoglie dati di geolocalizzazione e tre trattano fingerprint e dati personali sensibili.
Between Digital, elencata con indirizzo New York, processa pagamenti attraverso Alfa Bank — istituto sottoposto a sanzioni — e opera sia come publisher che reseller su circa due terzi del proprio portfolio di circa 55.000 siti partner.
Siti militari USA, tra cui armytimes.com e defensenews.com, permettono a Between Digital di servire annunci, mentre Opera.com — controllata dalla cinese Kunlun Tech dal 2016 — registra 27 data broker con prevalenza di partner in Emirati Arabi Uniti e Cina.

I file nascosti che regolano la pubblicità programmatica

Gli standard ads.txt e sellers.json sono stati introdotti dall'Interactive Advertising Bureau per combattere il domain spoofing, ma la loro implementazione ha creato una massa di dati strutturati che pochi analizzano sistematicamente. DecryptAds estrae da questi file le relazioni tra publisher, reseller e buyer, costruendo una mappa navigabile della catena di approvvigionamento pubblicitaria. Il servizio include un "Quiet Removals Feed" che traccia le rimozioni silenziose dai sellers.json — eventi che, secondo il sito ufficiale, "only make sense when viewed across exchanges".

La citazione di Edwards sul sito ufficiale fissa il principio metodologico: "Supply-chain integrity issues rarely live in a single file". Il tool cross-referenzia dichiarazioni tra domini apparentemente non correlati e identifica set clonati di attestazioni, applicando alla pubblicità programmatica le stesse tecniche di correlazione usate nel threat intelligence.

"It's an adtech tool but we're trying to approach adtech from a security perspective" — Zach Edwards, chief research officer DecryptAds e threat researcher Infoblox

ESPN e Opera: due casi studio, due architetture di rischio

Il dossier DecryptAds su ESPN.com mostra 143 ad partner e 19 data broker. Quasi la metà dei broker raccoglie dati di geolocalizzazione; tre trattano fingerprint e dati personali sensibili. Quattro entità pubblicitarie legate a Russia, Cina o Emirati Arabi Uniti risultano nella supply chain del network sportivo. Tra queste, Between Digital presenta indirizzo New York ma il dossier indica pagamenti processati tramite Alfa Bank, istituto sottoposto a sanzioni internazionali. Krebs on Security ha richiesto commento senza ricevere risposta al momento della pubblicazione.

Opera.com presenta un profilo diverso ma non meno denso: 27 data broker su un totale di adtech partner che la fonte quantifica in modo che i broker rappresentino il 7% del totale. Quindici partner risultano con sede negli Emirati Arabi Uniti, sei in Cina, tre a Cipro, due in Russia, uno a Hong Kong e uno in Ucraina. Il browser norvegese — la cui sede operativa rimane a Oslo — è controllato dalla cinese Kunlun Tech dal 2016. Il dossier non documenta trasferimenti di dati utente verso la società madre; registra esclusivamente la struttura di controllo azionario.

Between Digital e il conflitto di interesse strutturale

Il caso Between Digital illustra una forma di opacità che DecryptAds rende quantificabile. La società raccoglie dati pubblicitari su circa 55.000 siti partner ed è elencata sia come publisher che reseller su circa due terzi di questo portfolio. Edwards descrive la configurazione in termini di conflitto d'interesse sistemico: "It means they are basically playing both sides of the bidding equation, which creates opportunities to direct client spend at your owned and operated properties or client infrastructure". La doppia veste permette teoricamente di influenzare il flusso di budget pubblicitario verso asset propri, una dinamica che il formato file-by-file non renderebbe evidente.

La presenza di Between Digital nei file ads.txt di siti militari USA — armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com, federaltimes.com — aggiunge un livello di sensibilità geopolitica. Il dossier non specifica se questi siti abbiano rimosso la società successivamente alla pubblicazione dell'articolo.

Cosa fare adesso

Per gli operatori di siti web che utilizzano pubblicità programmatica, DecryptAds offre un metodo concreto di verifica della propria supply chain: inserendo il dominio nel servizio è possibile visualizzare l'elenco completo di ad partner e data broker dichiarati nei file ads.txt e sellers.json. Questo consente di identificare broker che raccolgono geolocalizzazione o fingerprint senza che il publisher ne sia consapevole.

Per i ricercatori e gli analisti di threat intelligence, il "Quiet Removals Feed" fornisce un segnale di monitoraggio continuo sulle modifiche ai sellers.json — variazioni che, come documenta il sito ufficiale, "only make sense when viewed across exchanges" e che isolate risultano invisibili.

Per i 4 stati USA con leggi di registrazione data broker attive — California, Oregon, Texas, Vermont — DecryptAds rappresenta una fonte di verifica indipendente sulla effettiva dichiarazione degli operatori, anche se il brief non documenta meccanismi di enforcement specifici né copertura federale.

Il modello di business di DecryptAds resta non specificato dalla fonte. Il servizio è descritto come gratuito, ma non emergono dettagli su finanziamenti, sostenibilità economica o eventuali limiti temporali dell'offerta.

Il vuoto normativo che DecryptAds non può colmare

Edwards evidenzia una carenza istituzionale duratura: "The problem we have right now is that for years we've had almost no one policing these ads.txt and app-ads.txt files". Quattro stati USA — California, Oregon, Texas, Vermont — hanno approvato leggi che richiedono la registrazione dei data broker, ma il dato quantitativo e l'evidence map non indicano meccanismi di enforcement specifici né copertura federale.

Il brief non documenta se i dati di geolocalizzazione raccolti dai broker includano posizione precisa o approssimata, né quantifica il numero esatto di siti generati da AI rilevati dalla piattaforma.

Perché è importante

Il valore dello strumento sta nella riproducibilità: i dati sono pubblici, le correlazioni sono verificabili, la metodologia è dichiarata. In un settore dove l'opacità è strutturale, questa trasparenza rappresenta un cambiamento di paradigma. Resta da vedere se la visibilità produrrà accountability — e da parte di chi.

Il brief non chiarisce se Between Digital abbia successivamente risposto alla richiesta di commento di Krebs on Security. Non è verificato indipendentemente che Alfa Bank processi effettivamente le transazioni della società: il dato deriva dal dossier DecryptAds ed è presentato come tale. La data di pubblicazione — 19 agosto 2026 — è riportata dalla fonte ma non confermata da fonti aggiuntive, elemento che richiede cautela nella collocazione temporale dell'evento.

Domande frequenti

DecryptAds protegge dalla raccolta dati?

No. È uno strumento di analisi forense che rende visibili le relazioni nella supply chain pubblicitaria, non un ad blocker o una soluzione di privacy attiva.

I dati di DecryptAds sono verificabili indipendentemente?

Sì. Lo strumento si basa su file ads.txt, app-ads.txt, buyers.json e sellers.json pubblicamente accessibili. Gli stessi dati possono essere consultati direttamente sui siti target.

Perché i siti militari USA appaiono nella supply chain di Between Digital?

La fonte non spiega il processo di onboarding né se le entità militari siano consapevoli della presenza del broker. Il dato documenta esclusivamente la risultanza tecnica nei file di configurazione pubblicitaria.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti