Citizen Lab wykrył reklamy instalujące program szpiegujący bez klikania

Reklama internetowa może zawierać coś więcej niż obrazek. Może przenosić kod — a badacze z Citizen Lab na Uniwersytecie w Toronto wykazali, że można go użyć do zainstalowania spyware’u na urządzeniu wybranej osoby bez choćby jednego kliknięcia. Laboratorium nazwało tę technikę AdFection. Osoba zaatakowana w ten sposób „nie zauważyłaby niczego podejrzanego” — powiedział serwisowi Wired starszy badacz Bill Marczak. „Właściwie mogłaby nawet nie zobaczyć żadnej reklamy”.

To ważna sprawa dla każdego, kto ma telefon pełen darmowych aplikacji. Ataki niewymagające kliknięcia najczęściej wykorzystywały luki w komunikatorach, które firmy mogą załatać. Tym razem napastnicy wykorzystali zwykły mechanizm decydujący o tym, jaką reklamę zobaczysz: aukcję, która odbywa się w ułamku sekundy przy każdym wczytaniu aplikacji lub strony internetowej i już wtedy przekazuje dalej identyfikator reklamowy urządzenia, adres IP oraz informacje o telefonie.

W centrum sprawy znajduje się Discover-Tech, zarejestrowana w Izraelu firma przedstawiająca się jako przedsiębiorstwo reklamowe. Według raportu jej platforma Controlium pozwalała klientom wskazać konkretną osobę na podstawie identyfikatora reklamowego, pliku cookie przeglądarki lub adresu IP, a następnie dostarczyć kod na jej urządzenie w chwili wyświetlenia reklamy. Wszyscy pozostali widzieli zwykłą reklamę. Citizen Lab z dużą pewnością wiąże serię ataków na katarską sieć informacyjną Al Jazeera z firmą Candiru, producentem spyware’u, który obecnie działa pod nazwą Integrity Labs. Celem ataków było co najmniej 45 urządzeń należących do pracowników nadawcy, a zainfekowany komputer z systemem Windows ujawnił plik wskazujący na serwery Candiru.

To, jak badacze dostali się do środka, jest niemal zabawne. Strona logowania do Controlium udostępniała pełny kod źródłowy własnego panelu, więc zespół zapisał stronę, odciął ją od zewnętrznych serwerów i uruchomił każdy ekran. Serwer Discover-Tech pozostawił też bez zabezpieczeń niemal cztery miliardy rekordów aukcji reklamowych. Wynika z nich, że reklamy z tagiem skryptu napastnika wyświetlały się w 75 373 aplikacjach na Androida i iOS oraz na 120 768 stronach internetowych. Pojawiają się wśród nich znane nazwy: komunikator Viber wyświetlił na Androidzie ponad 700 000 takich reklam, które pojawiały się również w Yahoo Mail, Opera Mini i Duolingo.

Te liczby trzeba jednak interpretować ostrożnie. Samo wyświetlenie reklamy Discover-Tech na ekranie nie oznacza, że telefon został zhakowany — podkreśla laboratorium. W większości przypadków serwer firmy nie odesłał żadnego kodu, a dane z aukcji dotyczą tylko jednej z jej platform reklamowych i obejmują cztery miesiące. Citizen Lab nie ujawniło, które rządy zapłaciły za operację wymierzoną w Al Jazeerę. Ustalenie, że reklamy docierały do sieci NATO, Organizacji Narodów Zjednoczonych i kilku europejskich instytucji, świadczy o ich zasięgu, ale nie potwierdza infekcji. W Norwegii reklamy pojawiały się w sieciach parlamentu i policji, a w Szwecji — sił zbrojnych i krajowego operatora sieci energetycznej. Możliwości ochrony dostępne dla zwykłych użytkowników są ograniczone. Marczak radzi każdemu, kto może być celem ataku „ze względu na to, kim jest lub czym się zajmuje”, wyłączyć śledzenie reklam albo całkowicie je blokować.

Branża reklamowa zaczęła już reagować. Google poinformowało, że po wspólnym dochodzeniu z Citizen Lab i firmą zajmującą się bezpieczeństwem Confiant zablokowało Discover-Tech na swoich platformach reklamowych oraz dodało ostrzeżenia Safe Browsing dotyczące stron powiązanych z tą grupą. IAB Europe zawiesiło firmę na liście zatwierdzonych dostawców reklam, a należąca do Comcastu spółka Beeswax usunęła ją ze swojej platformy. Discover-Tech nie odpowiedziało na pytania Wired ani TechCrunch.

Citizen Lab opublikowało raport 15 października 2026 roku. Opisuje on ataki na Al Jazeerę z lat 2024 i 2025 oraz dane z aukcji z okresu od marca do czerwca 2026 roku. Laboratorium zapowiada drugi raport dotyczący odrębnej grupy, którą nazywa DARK CARTOGRAPHER. Według badaczy grupa ta wykorzystywała tę samą infrastrukturę, by na podstawie luk u operatorów komórkowych powiązać identyfikatory reklamowe telefonów z ich numerami w ponad 30 krajach.

Marczak określa Discover-Tech mianem „zaledwie wierzchołka góry lodowej”. Zespół nie musiał długo szukać reklam tej firmy. Pojawiały się na ekranach samych badaczy, gdy czytali artykuły na stronach CBC i Yahoo oraz grali w sudoku na urządzeniu z Androidem.

Tagi: cyberbezpieczeństwo, reklama internetowa, AdFection, Candiru, Citizen Lab, Discover-Tech