Дослідники викрили систему зараження смартфонів через інтернет-рекламу
Дослідники з Університету Торонто викрили масштабну систему цифрового стеження, яка використовувала звичайну інтернет-рекламу для відстеження користувачів і прихованого зараження їхніх пристроїв шпигунським програмним забезпеченням. Для здійснення атаки жертві навіть не потрібно було натискати на рекламне оголошення.
Про це йдеться в дослідженні Citizen Lab, опублікованому 15 жовтня 2026 року. Розслідування проводили спільно з фахівцями компанії Confiant, повідомляють також TechCrunch і Politico.
У центрі розслідування опинилася ізраїльська компанія Discover-Tech, яка позиціонує себе як постачальник рекламних технологій. За висновками дослідників, її інфраструктуру використовували для поширення шпигунського програмного забезпечення комерційних розробників, зокрема Candiru, яка нині працює під назвою Integrity Labs.
Технологія отримала назву AdFection. Вона дозволяла заражати пристрій у момент завантаження рекламного оголошення без будь-яких дій користувача. Це перший публічно підтверджений випадок використання такого механізму для поширення комерційного шпигунського ПЗ.
Зараження через звичайні рекламні оголошення
Для проведення атак використовувалася платформа Controlium, розроблена Discover-Tech. Вона дозволяла відстежувати конкретних користувачів за IP-адресами, рекламними ідентифікаторами та іншими цифровими характеристиками пристроїв.
Коли людина відкривала сайт або застосунок із відповідною рекламою, прихований код передавав інформацію про пристрій на сервери Discover-Tech. Якщо користувач був обраний ціллю, система могла завантажити додатковий шкідливий код, який використовував уразливості програмного забезпечення для встановлення шпигунських інструментів.
За допомогою такого механізму оператори могли отримувати доступ до інформації на пристрої та здійснювати приховане стеження. При цьому звичайне рекламне оголошення не обов'язково містило шкідливий код: його завантажували окремо лише для вибраних цілей, що ускладнювало виявлення атаки.
Дослідники підтвердили використання цієї технології проти міжнародної телекомпанії Al Jazeera. У 2024-2025 роках щонайменше 45 пристроїв організації стали цілями атак. Аналіз мережевого трафіку та шкідливого програмного забезпечення дозволив підтвердити зараження пристроїв шпигунською програмою Candiru.
Мільйони пристроїв потрапили до системи стеження
Під час розслідування фахівці проаналізували близько 4 млрд записів рекламних аукціонів Discover-Tech за чотиримісячний період 2026 року.
Виявилося, що оголошення компанії відображалися майже на 200 тисячах вебсайтів і в застосунках для Android та iOS у десятках країн. Серед них були популярні сервіси Viber, Duolingo, Truecaller, Yahoo Mail та інші.
Крім того, рекламу Discover-Tech зафіксували на пристроях у мережах, пов'язаних із НАТО, Організацією Об'єднаних Націй, Європейською комісією, Європарламентом, державними установами та об'єктами критичної інфраструктури.
За оцінкою Citizen Lab, мільйони пристроїв встановлювали приховані з'єднання із серверами, пов'язаними зі шпигунською інфраструктурою. Це давало змогу збирати дані для стеження та визначати потенційні цілі.
Водночас дослідники наголошують, що показ рекламного оголошення не означає автоматичного зараження пристрою. Масштаб доведених заражень значно менший за кількість користувачів, дані яких могли збиратися через рекламну систему.
Google та рекламні платформи обмежили доступ компанії
Після отримання результатів розслідування Google припинила доступ Discover-Tech до своїх рекламних бірж. Європейська галузева організація IAB Europe також виключила компанію з реєстру постачальників рекламних технологій.
Аналогічних заходів вжили рекламні платформи Beeswax, Vungle та Eskimi. Раніше Discover-Tech протягом кількох років перебувала у списках схвалених постачальників рекламних послуг.
Дослідники закликають технологічні компанії та регуляторів посилити перевірку учасників рекламного ринку. Для захисту від подібних атак фахівці також рекомендують блокувати потенційно небезпечну рекламу, оскільки навіть відсутність взаємодії з оголошенням не гарантує безпеки.
За матеріалами: Citizen Lab, TechCrunch, Politico