Шпигунське ПЗ через рекламний ланцюг: Citizen Lab задокументував zero-click-доставку «AdFection»
Доповідь, опублікована 15 жовтня 2026 року Citizen Lab — дослідницькою групою Торонтського університету, — описує спосіб доставки шпигунського ПЗ з незвично низьким порогом для жертви: достатньо було показу таргетованої інтернет-реклами. Атака, яку дослідники назвали AdFection, не вимагала ані кліку, ані завантаження, ані діалогового вікна підтвердження. За словами команди з шести осіб, що стояла за доповіддю, наймане шпигунське ПЗ діставалося до цілей через ту саму рекламну інфраструктуру, завдяки якій існують звичайні новинні сайти.
Ця знахідка важлива для всіх, хто вважає відомі новинні сайти та інші усталені домени завідомо безпечними поверхнями. Зараження сталися не на сумнівній сторінці й не через фішингове повідомлення. Вони сталися всередині рекламних блоків звичайних вебсторінок, розміщених мережами, які більшість видавців ніколи не перевіряє, а більшість читачів узагалі не бачить. Рекламний блок — одне з небагатьох місць, де чужий контент завантажується на сторінку автоматично, і це робить його природною точкою інтересу для тих, хто вивчає поверхню атаки, а не репутацію. Як рекламний блок став каналом доставки
Доповідь «Exposing AdFection» документує, як Discover-Tech, ізраїльська ad-tech-компанія, замовила й оплатила шкідливу рекламу та спрямувала її на обрані цілі. За кампанією стояла Candiru — постачальник найманого шпигунського ПЗ, який, як зазначає Citizen Lab, нині таємно діє під назвою «Integrity Labs». Купивши собі шлях до рекламної екосистеми, операція з'єднала постачальника шпигунського ПЗ з каналом, якому видавці та їхня аудиторія мали мало причин не довіряти. Citizen Lab підтвердила зараження на пристроях працівників Al Jazeera, чиї власні матеріали підтверджують цей випадок. За даними Комітету із захисту журналістів, постраждало щонайменше 45 пристроїв. Дослідники далі пишуть, що є ознаки того, що серед цілей було й міністерство закордонних справ Саудівської Аравії; ця частина залишається непідтвердженою, і її слід сприймати як твердження, а не як установлений факт. Визначальна риса AdFection у тому, що показ реклами та зараження збіглися. Жертви нічого не клацали й нічого не встановлювали. У стандартній моделі судження користувача — останній рубіж захисту, який має впасти; у цій атаці той рубіж взагалі не був частиною послідовності. Роками дослідження безпеки браузерів розглядали ідею, що сам лише перегляд вебконтенту може скомпрометувати пристрій, як теоретично найгірший сценарій; доповідь показує, що на практиці це здійснено проти конкретних людей через комерційний канал. Реакція галузі
Щойно висновки стали публічними, частина рекламної індустрії поспішила відсікти компанію. Як повідомляє німецький технологічний сайт Tarnkappe, Google припинив доступ Discover-Tech до своєї рекламної платформи, а IAB Europe вилучила компанію зі своїх переліків постачальників. Beeswax/FreeWheel і Eskimi розірвали партнерство з Discover-Tech, а Vungle/Liftoff призупинила її доступ до перевірки. Al Jazeera, чиї працівники опинилися серед заражених, висвітлювала цю справу самостійно, а профільні видання з безпеки, як-от The Record, продовжували стежити за висновками. Широта реакції сама по собі показова: за кілька днів після публікації одна дослідницька доповідь змінила комерційне становище ad-tech-компанії на кількох центральних платформах галузі. Що це означає для операційної безпеки
Для тих, хто серйозно ставиться до операційної безпеки, урок неприємний. Більшість особистих рекомендацій будується навколо того, на що не клацати, і припускає, що обережність у момент взаємодії достатня. Канал доставки, що не потребує взаємодії, перекреслює це припущення. Залишаються встановлення виправлень, блокування реклами та фільтрування на рівні мережі — заходи, які багато хто, зокрема технічно підковані користувачі, застосовує непослідовно. Довірений сайт настільки чистий, наскільки чистий сторонній контент, який він вбудовує, а реклама — найпоширеніший сторонній контент в інтернеті. Ми вже писали про ціну для приватності вбудованих сторонніх віджетів; AdFection показує, що ставки можуть сягати повного захоплення пристрою. Цей випадок перегукується й із давнішою історією. Наприкінці 2000-х drive-by-завантаження робили шкідливі сторінки небезпечними за самого лише відвідування, і стандартна порада полягала в тому, щоб триматися подалі від сумнівних сайтів і вчасно оновлювати програмне забезпечення. AdFection належить до цієї традиції, але перевертає геометрію: шкідливий контент рухався до жертви через поважних видавців, а не навпаки. Рекламна мережа — це, функціонально, глобальна система поширення контенту з обмеженою прозорістю щодо того, хто може платити за розміщення і хто побачить результат. Ця непрозорість не випадковість системи; вона закладена в устрій ринку. Поки це не зміниться, розумний підхід за замовчуванням — вважати будь-яку вбудовану рекламу недовіреним контентом, на будь-якому сайті.
