Spyware przez łańcuch reklamowy: Citizen Lab dokumentuje zero-click dostarczanie „AdFection”
Raport opublikowany 15 października 2026 r. przez Citizen Lab, grupę badawczą Uniwersytetu w Toronto, opisuje metodę dostarczania spyware o wyjątkowo niskiej barierze dla ofiary: wystarczyło wyświetlenie dopasowanej reklamy internetowej. Atak, który badacze nazywają AdFection, nie wymagał kliknięcia, pobrania ani okna potwierdzenia. Według sześcioosobowego zespołu stojącego za raportem komercyjne spyware docierało do celów tą samą infrastrukturą reklamową, dzięki której finansują się główne serwisy internetowe.
To odkrycie ma znaczenie dla każdego, kto traktuje znane serwisy informacyjne i inne ugruntowane domeny jako z natury bezpieczne powierzchnie. Infekcje nie miały miejsca na niepoważnej stronie ani przez wiadomość phishingową. Miały miejsce w blokach reklamowych zwykłych stron internetowych, umieszczonych przez sieci, których większość wydawców nigdy nie audytuje, a których większość czytelników nie widzi. Blok reklamowy to jedno z niewielu miejsc, w których obca zawartość trafia na stronę automatycznie, co czyni go naturalnym obiektem zainteresowania dla każdego, kto bada powierzchnię ataku, a nie reputację. Jak blok reklamowy stał się rurociągiem dostawy
Raport, „Exposing AdFection”, dokumentuje, jak Discover-Tech, izraelska firma ad tech, zamówiła i opłaciła złośliwe reklamy oraz skierowała je na wybrane cele. Za kampanią stała Candiru, dostawca komercyjnego spyware, który — jak odnotowuje Citizen Lab — działa obecnie skrycie pod nazwą „Integrity Labs”. Kupując sobie drogę do ekosystemu reklamowego, operacja połączyła dostawcę spyware z kanałem, wobec którego wydawcy i ich odbiorcy mieli niewiele powodów do nieufności. Citizen Lab potwierdził infekcje na urządzeniach pracowników Al-Jazeery, której własne relacje potwierdzają tę sprawę. Według Komitetu Ochrony Dziennikarzy dotkniętych zostało co najmniej 45 urządzeń. Badacze piszą dalej, że istnieją przesłanki, iż wśród celów było także saudyjskie ministerstwo spraw zagranicznych; ta część pozostaje niepotwierdzona i należy ją czytać jako twierdzenie, a nie ustalony fakt. Cechą definiującą AdFection jest to, że obejrzenie reklamy i zainfekowanie zbiegły się w czasie. Ofiary niczego nie kliknęły i niczego nie zainstalowały. W standardowym modelu osąd użytkownika to ostatnie zabezpieczenie, które musi zawieść; w tym ataku to zabezpieczenie w ogóle nie wchodziło w skład sekwencji. Od lat badania bezpieczeństwa przeglądarek traktowały ideę, że sama ekspozycja na treści internetowe może skompromitować urządzenie, jako teoretyczny scenariusz najgorszy; raport pokazuje, że jest ona realizowana w praktyce, wobec konkretnych osób, komercyjnym rurociągiem. Reakcja branży
Gdy wnioski stały się publiczne, część branży reklamowej ruszyła, by odciąć firmę. Jak informuje niemiecki serwis technologiczny Tarnkappe, Google zakończył dostęp Discover-Tech do swojej platformy reklamowej, a IAB Europe usunęła firmę ze swoich wykazów dostawców. Beeswax/FreeWheel i Eskimi zerwały współpracę z Discover-Tech, a Vungle/Liftoff zawiesiła jej dostęp do czasu weryfikacji. Al-Dżazira, której pracownicy znaleźli się wśród zainfekowanych, sama opisywała tę sprawę, a branżowe serwisy poświęcone bezpieczeństwu, takie jak The Record, kontynuowały relację z ustaleń. Sama szerokość reakcji jest godna uwagi: w ciągu kilku dni od publikacji jeden raport badawczy zmienił pozycję komercyjną firmy ad tech na kilku centralnych platformach branży. Co to oznacza dla bezpieczeństwa operacyjnego
Dla osób traktujących bezpieczeństwo operacyjne poważnie lekcja jest niewygodna. Większość osobistych zaleceń krąży wokół tego, czego nie klikać, i zakłada, że ostrożność w momencie interakcji wystarczy. Kanał dostawy, który nie wymaga interakcji, odbiera to założenie. Pozostają poprawki, blokowanie reklam i filtrowanie na poziomie sieci — zabezpieczenia, których wiele osób, w tym użytkownicy techniczni, nie stosuje konsekwentnie. Zaufana strona jest tak czysta, jak zawartość stron trzecich, którą osadza, a reklama to najbardziej rozpowszechniona zawartość stron trzecich w sieci. Pisaliśmy już o cenie prywatności osadzonych widżetów stron trzecich; AdFection pokazuje, że stawka może sięgać pełnego przejęcia urządzenia. Ta sprawa współbrzmi też ze starszą historią. Pod koniec pierwszej dekady XXI wieku ataki drive-by czyniły złośliwe strony niebezpiecznymi przy samej wizycie, a standardowa rada brzmiała: trzymać się z dala od podejrzanych witryn i aktualizować oprogramowanie. AdFection należy do tej tradycji, ale odwraca geometrię: złośliwa treść podążała do ofiary przez poważanych wydawców, a nie odwrotnie. Sieć reklamowa to, w ujęciu funkcjonalnym, globalny system dystrybucji treści o ograniczonej przejrzystości co do tego, kto może płacić za emitowanie i kto zobaczy efekt. Ta nieprzejrzystość nie jest przypadkiem systemu; jest częścią konstrukcji rynku. Dopóki się to nie zmieni, rozsądnym ustawieniem domyślnym jest traktowanie każdej osadzonej reklamy, na każdej stronie, jako treści niezaufanej.
