Reklam zinciri üzerinden casus yazılım: Citizen Lab zero-click 'AdFection' dağıtımını belgeledi
Toronto Üniversitesi araştırma grubu Citizen Lab'ın 15 Ekim 2026'da yayımladığı rapor, kurban için alışılmadık derecede düşük bir eşiğe sahip bir casus yazılım dağıtım yöntemini anlatıyor: hedefli bir çevrim içi reklamı göstermek yeterliydi. Araştırmacıların AdFection adını verdiği saldırı tıklama, indirme ya da onay penceresi gerektirmiyordu. Raporu hazırlayan altı kişilik ekibe göre paralı casus yazılım, hedeflerine ana akım web sitelerinin kendi finansmanı için dayandığı reklam altyapısı üzerinden ulaştı.
Bu bulgu, tanınmış haber sitelerini ve yerleşik diğer alan adlarını kendiliğinden güvenli yüzeyler olarak gören herkes için önemli. Enfeksiyonlar itibarsız bir sayfada ya da bir oltalama (phishing) mesajı yoluyla değil, sıradan web sayfalarının reklam alanlarının içinde gerçekleşti. Bu alanlar, çoğu yayıncının hiç denetlemediği ve çoğu okurun göremediği ağlar tarafından yerleştirildi. Reklam alanı, dış içerikten bir sayfaya otomatik olarak yüklendiği az sayıdaki yerden biridir; bu da onu itibar yerine saldırı yüzeyini inceleyenler için doğal bir ilgi noktası haline getirir. Bir reklam alanı dağıtım hattına nasıl dönüştü
Rapor, 'Exposing AdFection', İsrail merkezli ad tech şirketi Discover-Tech'in kötü amaçlı reklamları sipariş ettiğini, bedelini ödediğini ve bunları seçili hedeflere yönlendirdiğini belgelendiriyor. Kampanyanın arkasında, Citizen Lab'ın artık 'Integrity Labs' adıyla gizlice faaliyet gösterdiğini belirttiği paralı casus yazılım tedarikçisi Candiru vardı. Operasyon, reklam ekosistemine ödeme yaparak girdi ve böylece bir casus yazılım tedarikçisini, yayıncıların ve izleyicilerinin kuşkulanmak için pek az neden bulunduğu bir kanala bağladı. Citizen Lab, Al Jazeera çalışanlarına ait cihazlardaki enfeksiyonları doğruladı; kurumun kendi haberleri de bu vakayı destekliyor. Gazetecileri Koruma Komitesi'ne göre en az 45 cihaz etkilendi. Araştırmacılar ayrıca Suudi dışişleri bakanlığının da hedefler arasında olduğuna dair işaretler bulunduğunu yazıyor; bu kısım doğrulanmamış olup yerleşik bir gerçek değil, bir iddia olarak okunmalı. AdFection'un belirleyici özelliği, reklamı görmek ile enfekte olmak arasında zaman farkı olmamasıydı. Kurbanlar hiçbir şeye tıklamadı, hiçbir şey yüklemedi. Standart modelde kullanıcının takdiri, devrilmesi gereken son kontrol noktasıdır; bu saldırıda o kontrol noktası sıranın hiçbir parçası değildi. Tarayıcı güvenliği araştırmaları yıllardır, yalnızca web içeriğine maruz kalmanın bile bir cihazı ele geçirebileceği fikrini teorik en kötü durum olarak ele aldı; rapor bunun pratikte, belirli kişilere karşı, ticari bir hat üzerinden yapıldığını gösteriyor. Sektörün tepkisi
Bulgular kamuya açık hale gelir gelmez, reklam sektörünün bir kesimi şirketi kesmek için harekete geçti. Alman teknoloji sitesi Tarnkappe'in aktardığı gibi Google, Discover-Tech'in reklam platformuna erişimini sonlandırdı; IAB Europe şirketi tedarikçi listelerinden çıkardı. Beeswax/FreeWheel ve Eskimi Discover-Tech ile ortaklığa son verdi, Vungle/Liftoff ise inceleme tamamlanana kadar erişimi askıya aldı. Al Jazeera, çalışanları enfekte olanlar arasında bulunduğu için vakayı bağımsız olarak ele aldı; The Record gibi güvenlik basını organları da bulguların ardından gelişmeleri izledi. Tepkinin genişliği başlı başına dikkat çekici: yayımlanmasının ardından günler içinde tek bir araştırma raporu, bir ad tech şirketinin sektörün birkaç merkezi platformundaki ticari konumunu değiştirdi. Bunun operasyonel güvenlik için anlamı
Operasyonel güvenliği ciddiye alanlar için ders rahatsız edici. Kişisel yönergelerin çoğu, neye tıklanmayacağı etrafında kuruludur ve etkileşim anındaki temkinliliğin yeterli olduğunu varsayar. Etkileşim gerektirmeyen bir dağıtım hattı bu varsayımı ortadan kaldırıyor. Geriye yamalar, reklam engelleme ve ağ düzeyinde filtreleme kalıyor: teknik kullanıcılar da dahil pek çok kişinin tutarlı biçimde uygulamadığı denetimler. Güvenilir bir site, yalnızca gömülü üçüncü taraf içerik kadar temizdir ve reklam, web'deki en yaygın dağıtılmış üçüncü taraf içeriktir. Daha önce gömülü üçüncü taraf widget'ların gizlilik bedelini incelemiştik; AdFection ise risklerin cihazın tamamen ele geçirilmesine kadar uzanabileceğini gösteriyor. Vaka daha eski tarihle de örtüşüyor. 2000'lerin sonunda drive-by indirmeler, kötü amaçlı sayfaları yalnızca ziyaret edilmekle tehlikeli hale getiriyordu ve standart tavsiye, şüpheli sitelerden uzak durmak ve yazılımı güncel tutmaktı. AdFection bu geleneğe aittir ama geometriyi tersine çevirir: kötü amaçlı içerik, kurbanın kendisine itibarlı yayıncılar üzerinden ulaştı; tam tersi değil. Bir reklam ağı, işlevsel açıdan, kimin yerleşim için ödeme yapabileceği ve sonucu kimin göreceği konusunda sınırlı şeffaflığa sahip küresel bir içerik dağıtım sistemidir. Bu opaklık, sistemin tesadüfi bir yanı değildir; pazarın tasarımının bir parçasıdır. Bu değişene kadar, her sitedeki her gömülü reklamı güvenilmeyen içerik saymak makul varsayılandır.
