Канадська дослідницька організація Citizen Lab виявила технологію, яка дозволяла встановлювати шпигунське програмне забезпечення на телефони та комп'ютери через звичайну інтернет-рекламу — без жодного кліку з боку користувача. Про це повідомляє Financial Times із посиланням на дослідження Citizen Lab.
Технологія отримала назву AdFection. За даними дослідників, її розробила ізраїльська компанія Discover-Tech. У 2024–2025 роках цю платформу використовували для атак на співробітників телеканалу Al Jazeera. Їхні пристрої заражали шпигунським ПЗ іншої ізраїльської компанії — Candiru.
Водночас дослідники встановили, що реклама цієї мережі була спрямована також на працівників НАТО, Європейської комісії, компанії NVIDIA, виробника чипів Arm та інших організацій.
Механізм атаки спирався на звичайну систему розміщення онлайн-реклами. Коли людина відкриває сайт або застосунок, рекламні платформи автоматично визначають, яку рекламу їй показати. Для цього вони передають рекламодавцям певні дані про користувача, зокрема приблизне місцеперебування, IP-адресу та історію переглядів.
Discover-Tech використовувала цю інформацію, щоб ідентифікувати конкретних людей і вибирати пристрої для атаки. Якщо система обирала користувача своєю ціллю, йому показували рекламу, всередині якої був прихований шкідливий код. Натискати на оголошення або завантажувати файли не потрібно було — шпигунське ПЗ могло потрапити на пристрій під час показу реклами.
Такий спосіб зараження називають zero-click, тобто атакою без участі користувача. На відміну від фішингу, людині не потрібно переходити за підозрілим посиланням чи відкривати вкладення.
Один із найвідоміших прикладів zero-click атак — шпигунська програма Pegasus ізраїльської компанії NSO Group. Її використовували для стеження за журналістами, правозахисниками та іншими людьми. Citizen Lab неодноразово фіксувала випадки зараження iPhone через вразливості, які не потребували взаємодії власника телефона.
Зокрема, у 2021 році дослідники виявили атаку FORCEDENTRY, яка дозволяла встановлювати Pegasus на пристрої Apple через вразливість iMessage. У 2023 році було зафіксовано інший спосіб зараження — BLASTPASS. Він також використовував iMessage і міг заражати iPhone без участі власника. Apple згодом виправила ці вразливості.
За даними Citizen Lab, більшість виробників кібершпигунського програмного забезпечення залишаються поза регулюванням. Це створює умови для безконтрольного використання таких технологій проти журналістів, активістів, державних службовців і співробітників міжнародних організацій.
Виявлення AdFection демонструє, що рекламні мережі можуть використовуватися як канал для цілеспрямованих кібератак. Дослідники наголошують на необхідності посилення контролю за ринком рекламних технологій та за компаніями, які розробляють інструменти для стеження.
4
