Um novo relatório do Comitê para a Proteção dos Jornalistas (CPJ) expõe um risco que vem se agravando com o avanço da inteligência artificial: dados pessoais coletados para direcionar a publicidade online podem ser vendidos e reaproveitados para rastrear profissionais de imprensa, revelar seus deslocamentos e colocar suas fontes em risco.
Entrevistado pelo CPJ, Sebastian Meineck, editor do site alemão especializado em liberdade digital Netzpolitik, chamou essa situação de uma “verdade inconveniente” para jornalistas que tentam proteger sua privacidade: os aplicativos das próprias empresas onde trabalham podem ser parte do problema.
Isso porque empresas de mídia que que dependem de anúncios online provavelmente envolvem a si mesmas e a seu público nos leilões de publicidade em tempo real, conhecidos como RTB (real-time bidding).
Mas o risco não se limita aos aplicativos dos veículos, estendendo-se a qualquer site usado por jornalistas até em atividades corriqueiras, não relacionadas ao trabalho.
Jornalistas encontram seus próprios dados de localização
Um dos casos destacados é o do jornalista alemão Ingo Dachwitz, também do Netzpolitik. Ele encontrou informações sobre si mesmo em uma amostra gratuita de dados depois de permitir que um aplicativo de previsão do tempo rastreasse sua localização.
Outro caso é o do belga Nicolas Baudoux. Ele obteve gratuitamente de um corretor de dados dos Estados Unidos informações referentes a apenas duas semanas de 2025. A amostra reunia cerca de 1 milhão de dispositivos e 100 milhões de registros de localização.
Mesmo com esse período limitado, Baudoux disse ao CPJ que foi possível identificar pessoas. Entre elas estava um colega do jornal L’Echo, cujos deslocamentos puderam ser identificados a partir dos dados.
Robert Flummerfelt, jornalista investigativo e especialista em segurança digital ouvido pelo CPJ, afirma que governos interessados em monitorar repórteres podem usar esse recurso para saber com quem eles se encontram e conversam, quem são suas fontes e no que estão trabalhando.
Como os aplicativos coletam dados para publicidade online
Uma das formas de coleta descritas pelo relatório envolve os kits de desenvolvimento de software (SDKs), segmentos de código usados por desenvolvedores para criar aplicativos e que podem dar suporte à integração com sistemas de publicidade online.
Segundo o CPJ, empresas privadas usaram SDKs para coletar dados de localização que podem ser vendidos a interessados em rastrear pessoas.
Em 2019, uma investigação do The New York Times com dados de localização de mais de 12 milhões de telefones mostrou que era possível rastrear os passos de um jornalista do The Washington Post.
O caso chamou a atenção para o risco enfrentado por repórteres que se encontram pessoalmente com fontes para evitar outras formas de vigilância.
O que acontece nos leilões de publicidade em tempo real
Outro caminho é o RTB (real-time bidding). Quando alguém abre um site ou aplicativo que exibe anúncios, um perfil associado ao dispositivo e ao usuário é transmitido ao mercado publicitário. Anunciantes fazem ofertas quase instantâneas para exibir sua publicidade ao internauta.
Sara Geoghegan, do Electronic Privacy Information Center (EPIC), disse ao CPJ que as informações compartilhadas podem incluir localização, afiliações políticas, emprego e dados sobre saúde física e mental.
Os perfis normalmente não mostram o nome da pessoa, mas podem ser associados a identificadores de publicidade móvel. A Comissão Federal de Comércio dos Estados Unidos (FTC) afirma que esses identificadores “não garantem anonimato”.
Segundo o relatório, a inteligência artificial torna ainda mais fácil associar esses dados a indivíduos, aumentando os riscos de rastreamento malicioso.
Um identificador pode ajudar a localizar uma pessoa
O relatório aponta também que pesquisadores da Universidade de Washington demonstraram que, conhecendo o identificador de publicidade de um alvo e os aplicativos usados regularmente por ele, era possível direcionar anúncios a um dispositivo específico e usá-los para confirmar sua localização.
O levantamento cita ainda um conjunto de dados de mercado de 2021 da Xandr, consolidada na Microsoft Advertising em 2025, que continha segmentos como “uk_femalejournalists”, “Journalists and News” e pessoas interessadas no próprio Comitê para a Proteção dos Jornalistas.
Wolfie Christl, pesquisador do Citizen Lab, disse ao CPJ que categorias desse tipo podem ser combinadas com outras informações para restringir a busca até chegar a indivíduos específicos.
Dados comerciais revelaram a rotina de jornalista exilada
O relatório apresenta o caso da jornalista egípcia Basma Mostafa, que vive exilada em Berlim e foi seguida e ameaçada.
Uma amostra gratuita de dados disponíveis comercialmente, revelada pela mídia alemã em abril de 2026, mostrou seu “padrão de vida”, incluindo sua casa e outros lugares que havia visitado.
Mostafa disse temer que autoridades egípcias pudessem ter usado essas informações para rastreá-la. A embaixada do Egito em Berlim não respondeu às perguntas enviadas pelo CPJ.
Quando dados de anúncios viram ferramentas de vigilância
O relatório também trata das empresas de inteligência publicitária, conhecidas como ADINT, que oferecem ferramentas de vigilância baseadas em dados comerciais.
Em 2025, o jornalista Martin Untersinger, do Le Monde, relatou a existência de mais de uma dúzia de empresas que usavam dados de publicidade dessa maneira.
Entre os serviços oferecidos estavam o rastreamento de dispositivos quase em tempo real e a consulta a localizações registradas anos antes.
Um dos sistemas examinados é o Webloc, da empresa americana Penlink. Uma investigação do Citizen Lab descreveu-o como um “sistema global de vigilância de geolocalização” que monitora centenas de milhões de pessoas com base em dados comprados de aplicativos e da publicidade digital.
A Penlink contestou as conclusões da investigação. A empresa disse ao CPJ que mantém medidas para reduzir o risco de uso indevido de suas tecnologias, que seus contratos proíbem violações de direitos humanos e que usar seus produtos para atingir jornalistas constitui uma grave violação.
Spyware pode ser entregue por anúncios
O relatório aborda ainda uma forma mais direta de ataque: spyware entregue por meio da publicidade online.
Omer Benjakob, repórter do jornal israelense Haaretz, explicou ao CPJ que o processo pode começar pela identificação do ID de publicidade associado ao dispositivo do alvo.
A pessoa é então localizada no mercado de publicidade e um anúncio é direcionado especificamente para aquele aparelho.
Benjakob chama o método de “meio clique” (half-click): em vez de convencer a vítima a clicar em um link malicioso, é preciso somente provocar sua exposição ao anúncio.
O relatório cita o Aladdin, produto da Intellexa, e informa que produtos semelhantes foram desenvolvidos por pelo menos outras duas empresas israelenses.
O CPJ faz, porém, uma ressalva importante: até a publicação do relatório, não havia casos confirmados publicamente de infecção por esse tipo de spyware entregue por anúncios.
Dados comerciais também interessam a governos
O repórter americano Byron Tau relatou ao CPJ uma tentativa de rastrear um jornalista da Casa Branca que havia obtido informações não sigilosas, mas embaraçosas, sobre Donald Trump durante seu primeiro mandato.
O CPJ disse ter localizado a pessoa que teria recebido o pedido. Sob condição de anonimato, ela confirmou que havia sido solicitada a rastrear um jornalista nos Estados Unidos e que se recusou a fazer isso.
Em março de 2026, o senador americano Ron Wyden afirmou que a compra pelo governo de dados de localização de americanos sem mandado era “particularmente perigosa” diante do uso da inteligência artificial para analisar grandes quantidades de informações privadas.
O relatório cita propostas no Congresso dos Estados Unidos para restringir a compra pelo governo de informações que, se obtidas por outros meios, exigiriam um mandado.
O relatório completo pode ser visto aqui.
