Wystarczyło otworzyć stronę albo uruchomić aplikację. Nic więcej. Według raportu Citizen Lab z Uniwersytetu w Toronto, opublikowanego w czwartek, właśnie tak działała kampania nazwana AdFection: reklama ładowała się na telefonie, a razem z nią szpieg. Jak pisze Ars Technica, badacze uznali to za prawdopodobnie pierwsze potwierdzone użycie komercyjnego oprogramowania szpiegowskiego typu zero-click dostarczanego przez ukierunkowane reklamy.
Atak działał na iOS i na Androidzie. Ofiarę zdradzić mógłby tylko specjalny sprzęt lub oprogramowanie do analizy śledczej. Citizen Lab potwierdził infekcję 45 urządzeń w Al Jazeera w latach 2024 i 2025.
Pośrednik z Izraela
Reklamy dostarczała izraelska firma Discover-Tech, która przedstawia się jako zwykły podmiot reklamowy. Według Citizen Lab jest jednak pośrednikiem dla kilku najemniczych dostawców spyware'u, a bycie „pomostem między dostawcami reklam a ekosystemem najemniczego oprogramowania szpiegowskiego” wydaje się jej głównym celem.
Mechanizm opiera się na licytacji. Reklamodawcy oferują opłatę za wyświetlenie reklamy osobom o określonym profilu. Identyfikator urządzenia, lokalizacja, adres IP i inne okruchy danych pozwalają pośrednikom budować szczegółowe profile milionów ludzi. Badacze zdobyli ponad 4 miliardy rekordów licytacji obsługiwanych przez Discover-Tech. Wynika z nich, że od marca do czerwca 2026 roku reklamy firmy wyświetlały się w ponad 70 tysiącach aplikacji mobilnych i na ponad 120 tysiącach stron.
Złośliwy kod miał pochodzić od Candiru, które przemianowało się na „Integrity Labs”. Cel o interesującym klienta profilu dostawał reklamę z kodem JavaScript łączącym się z serwerami Candiru. Te przesyłały exploit, a ten uruchamiał ładunek zero-click.
Lista zdjęta z półki
Discover-Tech figurowała jako dostawca „certyfikowany” lub „zweryfikowany” m.in. u Google'a i w stowarzyszeniu branżowym IAB Europe. Korzystała też z unijnych ram zgody na przetwarzanie danych (RODO), by trafiać do użytkowników w Unii. Po publikacji Google i IAB Europe usunęły ją ze swoich rejestrów, a Google dodatkowo odcięło dostęp do platform giełdy reklam. Beeswax zdjął firmę ze swojej platformy zakupu reklam, Vungle (Liftoff) wstrzymał dostęp na czas przeglądu, a Eskimi zablokował konta i domeny.
Raport wskazuje, że reklamy Discover-Tech trafiały też do sieci powiązanych z rządami i bezpieczeństwem narodowym: NATO, ONZ, europejskich organów prawodawczych, operatorów infrastruktury krytycznej w Australii oraz sił zbrojnych i urzędów w Norwegii i Szwecji.
Citizen Lab nie opisał wykorzystanych podatności ani końcowego złośliwego oprogramowania. Ars Technica zakłada, że były to luki zero-day, już załatane. Wiadomości do Discover-Tech i Candiru pozostały bez odpowiedzi.
Rady dla użytkowników są dość przyziemne: blokery reklam, zresetowanie reklamowego identyfikatora w ustawieniach iOS i Androida, blokowanie reklam w domowej lub firmowej sieci oraz terminowe aktualizacje. Ars Technica zwraca uwagę, że badacze nie doradzili wyłączenia reklam spersonalizowanych.
Citizen Lab pisze, że nadużycie „ujawnia strukturalne wady systemu reklamy internetowej”, który go nie wykrył. Do tej pory rolę strażnika bramy pełnił tu własny telefon. Tym razem brama była otwarta.
Wpis z pasa „W ruchu”, 18 października 2026. Na zdjęciu: Apple iPhone 5.
