AdFection: spyware w reklamach Google i innych sieci, bez jednego kliknięcia
AdFection to nazwa ataku opisanego 15 października 2026 przez Citizen Lab: szpiegowskie oprogramowanie trafiało na urządzenia przez zwykłe reklamy internetowe. Ofiara nie musiała w nic klikać - wystarczyło, że reklama wyświetliła się w aplikacji albo na stronie, czasem nawet w tle. Badacze piszą, że to pierwsze publiczne, techniczne potwierdzenie ataku „zero-click” komercyjnym spyware’em dostarczanym przez reklamy targetowane. Na temat zwrócił uwagę m.in. polski Sekurak.
Kto za tym stał
Reklamy kupowała izraelska firma Discover-Tech, która podawała się za zwykłego reklamodawcę. W rzeczywistości jej platforma Controlium pozwalała klientom rozpoznać konkretne urządzenie po identyfikatorach reklamowych, a następnie je zainfekować w momencie wyświetlenia reklamy. Samo oprogramowanie szpiegujące pochodziło od Candiru (dziś działającego pod nazwą Integrity Labs) - firmy znanej z wcześniejszych ataków na dziennikarzy i aktywistów.
Co najbardziej niepokojące, Discover-Tech od 2020 roku figurowała na listach „certyfikowanych” dostawców Google i IAB Europe, a jej reklamy szły przez duże giełdy reklamowe, w tym Google, Yandex, Beeswax czy Xandr (Microsoft).
Jak działał atak
- Krok 1: Discover-Tech wygrywa aukcję reklamową, reklama wyświetla się w aplikacji lub na stronie
- Krok 2: skrypt w reklamie wysyła do serwera firmy identyfikator reklamowy urządzenia i adres IP
- Krok 3: jeśli urządzenie jest na liście celów, serwer odsyła kod JavaScript z exploitem przeglądarki; jeśli nie - pustą odpowiedź, więc zwykły użytkownik niczego nie zauważy
- Krok 4: zainfekowane urządzenie łączy się z serwerami Candiru, które sprawdzają je i przejmują nad nim kontrolę
Reklamy z takim skryptem pojawiały się w aplikacjach na Androida i iOS oraz w przeglądarkach na telefonach i komputerach. Potwierdzona próbka z zainfekowanego urządzenia to złośliwa biblioteka dla Windows.
Skala
- Wyświetlenia: około 719 mln reklam ze skryptem atakujących (marzec-czerwiec 2026)
- Zasięg: użytkownicy ze 161 krajów, 75 tys. aplikacji i ponad 120 tys. stron
- „Kwalifikujący się” użytkownicy: ponad 3,6 mln (styczeń-czerwiec 2026)
- Potwierdzone ofiary: co najmniej 45 urządzeń pracowników Al Jazeery
- Prawdopodobne cele: sieci rządowe wielu krajów (m.in. Norwegia, Szwecja, Dania, Czechy, Włochy), NATO, ONZ, Parlament i Komisja Europejska oraz redakcje
Ważne: wyświetlenie reklamy to nie to samo co infekcja. Spyware dostawały wybrane osoby, a nie wszyscy, którzy zobaczyli reklamę. Raport nie wskazuje ofiar w Polsce.
Reakcja branży
Google współpracował przy badaniu, odciął Discover-Tech od swoich giełd reklamowych i usunął ją z listy dostawców. To samo zrobiła IAB Europe, a Beeswax, Eskimi i Vungle zablokowały lub zawiesiły firmę. Discover-Tech i Candiru nie odpowiedziały na pytania badaczy.
Jak się chronić
Citizen Lab radzi zwykłym użytkownikom:
- Bloker reklam: zaufane rozszerzenie w przeglądarce, a najlepiej blokowanie reklam na całą sieć domową (np. w routerze) lub VPN z blokadą reklam
- Przeglądarka: taka, która domyślnie blokuje śledzenie
- Identyfikator reklamowy: regularnie go resetować, wyłączyć śledzenie reklamowe w telefonie i w aplikacjach
- Osoby szczególnie narażone (dziennikarze, urzędnicy, aktywiści): skorzystać z pomocy specjalistów
Firmom i urzędom badacze zalecają blokowanie reklam na urządzeniach służbowych i na bramie sieciowej oraz wyłączenie identyfikatorów reklamowych w telefonach służbowych.
Na podstawie raportu Citizen Lab „Exposing AdFection”. Więcej: citizenlab.ca.
