Citizen Lab викрив шпигунство через онлайн-рекламу

Citizen Lab заявив, що урядове spyware доставляли через рекламні мережі без кліку з боку жертви. Серед можливих цілей — медіа, держструктури й міжнародні установи.

Citizen Lab викрив шпигунство через онлайн-рекламу

Дослідники Citizen Lab заявили, що урядові розробники шпигунського ПЗ використовують глобальні рекламні мережі для атак на пристрої через шкідливі онлайн-оголошення. Йдеться про схему, яка дає змогу непомітно збирати дані з комп’ютерів і смартфонів без жодного кліку з боку жертви.

У звіті, опублікованому в четвер, команда при Університеті Торонто назвала це першим підтвердженим випадком, коли spyware, пов’язане з урядами, доставляли через онлайн-рекламу. Це робить історію важливою не лише для фахівців із кібербезпеки: така модель атаки потенційно може зачепити дуже велику кількість пристроїв у різних країнах.

Discover-Tech і Controlium опинилися в центрі розслідування

За даними дослідників, ізраїльська компанія Discover-Tech дозволяла розробникам шпигунського ПЗ використовувати свою рекламну платформу для націлювання на конкретних людей або пристрої майже в будь-якій точці світу.

Citizen Lab стверджує, що Discover-Tech позиціонує себе як звичайну рекламну компанію, але фактично виконує роль “моста між рекламними продавцями та екосистемою найманого шпигунського ПЗ”.

У центрі схеми, за версією дослідників, була платформа Controlium, яку Citizen Lab пов’язує з Discover-Tech. Команда каже, що код на сторінках входу був частково відкритий, і це дало змогу відтворити вебпанель керування без авторизації. На думку дослідників, інтерфейс спеціально створили для того, щоб розміщувати шкідливий контент поруч із рекламою для окремих цільових користувачів.

Candiru і Bindecy пов’язали з таргетованими атаками

Citizen Lab заявив, що щонайменше два виробники zero-click spyware — Candiru і Bindecy — використовували платформу Discover-Tech для атак на людей.

Таке шпигунське ПЗ може заражати пристрій без будь-якої дії з боку користувача: не потрібно відкривати повідомлення чи переходити за посиланням. Саме тому подібні атаки вважаються особливо небезпечними — жертва може навіть не помітити момент зараження.

Дослідники також повідомили, що на сайті Discover-Tech був публічно доступний розділ, з якого вони змогли завантажити великі масиви журналів входу до панелі Controlium без пароля. Серед цих даних, за їхніми словами, були логіни щонайменше двох співробітників Candiru, а також деякі записи, пов’язані з Bindecy. Як пишуть Новини IT-PUB, саме ці журнали стали однією з технічних зачіпок у розслідуванні Citizen Lab.

Атаки зачепили Al Jazeera та інші чутливі мережі

Окремо Citizen Lab встановив, що одна з атак зачепила щонайменше 45 комп’ютерів Windows у медіаорганізації Al Jazeera. За даними дослідників, пристрої могли бути зламані у 2024 і 2025 роках через spyware Candiru після показу шкідливих рекламних оголошень із вбудованим кодом.

У Citizen Lab зазначили, що поки неясно, які саме уряди стоять за атаками. Але дослідники наголосили: це перше технічне підтвердження доставки урядового zero-click spyware через онлайн-рекламу. А отже, під ризиком можуть бути пристрої по всьому світу.

Команда також знайшла мільярди рекламних записів ставок, залишених відкритими на сайті Discover-Tech. Вони показали, що оголошення зрештою демонструвалися на десятках тисяч мобільних застосунків і вебсайтів у період із березня до червня 2026 року.

За цими записами, рекламу бачили пристрої, якими користувалися військові, урядові структури, об’єкти критичної інфраструктури та національні кіберагентства. Водночас дослідники не змогли підтвердити, чи призвело саме показування цих оголошень до компрометації або зараження.

Окремо в Confiant, платформі для перевірки якості реклами, яка допомагала Citizen Lab з розслідуванням, заявили, що знайшли ознаки потенційно шкідливих оголошень на пристроях у мережах МАГАТЕ та Міжнародного кримінального суду.

Рекламні мережі стали каналом для zero-click spyware

Citizen Lab наголошує, що сама ідея зловживання рекламними мережами не нова: зловмисники давно намагаються використовувати їх для доступу до майже будь-якого підключеного до інтернету пристрою. Тут, однак, ідеться про інший рівень загрози — рекламну інфраструктуру, яку, за висновками дослідників, використали для тихого проникнення на пристрої за допомогою потужного урядового шпигунського ПЗ.

Дослідники окремо звернули увагу на масштаб проблеми. Онлайн-реклама присутня на сайтах, у застосунках і на різних типах пристроїв, тому повністю уникнути таких ризиків складно, навіть якщо користувач намагається обмежити показ оголошень.

Bill Marczak, старший дослідник Citizen Lab, сказав напередодні публікації звіту, що навколо ідеї автоматичного зламу цілей через онлайн-рекламу було багато розмов, але тепер дослідники мають конкретні технічні докази того, що це справді працює.

Citizen Lab радить вимкнути рекламне відстеження

Marczak також заявив, що Discover-Tech — “лише верхівка айсберга”, і закликав людей вживати захисних заходів.

За його словами, якщо людина може стати мішенню через те, ким вона є або чим займається, варто вимкнути рекламне відстеження на пристроях або навіть повністю блокувати рекламу.

На момент публікації Al Jazeera не відповіла на запит про коментар щодо зламу. Discover-Tech також не відповіла, а Integrity Labs, компанію-виробника Candiru, не вдалося отримати для коментаря.

У цій історії особливо тривожить інше: звична рекламна інфраструктура, яка зазвичай просто показує оголошення, за версією Citizen Lab могла перетворитися на канал для прихованих атак. Якщо висновки дослідників підтвердяться, це стане серйозним сигналом для медіа, державних установ і всіх, хто залежить від онлайн-реклами в щоденній роботі.