广告技术链条中的间谍软件:Citizen Lab 记录零点击投放手法 'AdFection'
多伦多大学研究团队 Citizen Lab 于 2026 年 10 月 15 日发布的一份报告,描述了一种对受害者门槛低得异乎寻常的间谍软件投放方式:只需展示一条定向的在线广告即可。研究人员将这次攻击称为 AdFection,它不需要点击、下载或任何确认对话框。据撰写报告的六人团队称,雇佣型间谍软件正是借助主流网站赖以维持运营的广告基础设施,抵达了攻击目标。
这一发现对那些把知名新闻网站和其他成熟域名视为天然安全界面的用户意义重大。感染既没有发生在可疑页面上,也不是通过钓鱼消息传播,而是发生在普通网页的广告位里,由大多数发布者从不审计、大多数读者根本看不到的网络投放。广告位是少数几个外部内容会被自动加载进页面的位置之一,这使它成为研究攻击面而非声誉的人天然关注的对象。 广告位如何变成投放管道
报告 'Exposing AdFection' 记录了以色列广告技术公司 Discover-Tech 如何出资定制恶意广告,并将其引导至选定的目标。这场行动的背后是雇佣型间谍软件供应商 Candiru;Citizen Lab 指出,该供应商如今以 'Integrity Labs' 之名暗中运作。通过花钱打入广告生态系统,这次行动把间谍软件供应商接入了一个发布者和受众几乎无从起疑的渠道。 Citizen Lab 确认,半岛电视台(Al Jazeera)员工的设备遭到感染,该媒体自己的报道也佐证了此案。据保护记者委员会称,至少有 45 台设备受到影响。研究人员还写道,有迹象表明沙特外交部也在目标之列;这部分仍未得到证实,应视为主张而非确证的事实。 AdFection 的决定性特征在于:看到广告与被感染同时发生。受害者没有点击任何内容,也没有安装任何东西。在标准安全模型中,用户的判断是最后一道必须被攻破的防线;而在这次攻击中,这道防线根本不在攻击链条之内。多年来,浏览器安全研究一直把“仅浏览网页内容就可能攻破设备”视为理论上的最坏情形;这份报告显示,它已经通过一条商业管道在现实中针对特定的人实施。 行业反应
调查结果公开后,广告行业的部分力量随即着手切断与该公司的联系。据德国科技网站 Tarnkappe 报道,Google 终止了 Discover-Tech 对其广告平台的接入权限,IAB Europe 将该公司从供应商名录中移除。Beeswax/FreeWheel 和 Eskimi 终止了与 Discover-Tech 的合作关系,Vungle/Liftoff 则在审查完成前暂停了其接入权限。 半岛电视台的员工正是受害者之一,该媒体已对案件进行了独立报道,而 The Record 等安全行业媒体也对调查结果作了跟进。反应之广泛本身就值得关注:报告发布后仅数日,一份研究报告便在行业多个核心平台上改变了一家广告技术公司的商业处境。 这对运营安全意味着什么
对认真对待运营安全的人来说,这一课令人不安。大多数个人安全建议都围绕“不要点击什么”展开,并假定在交互时刻保持谨慎就足够了。而无需任何交互的投放渠道推翻了这一假定。剩下的只有打补丁、广告拦截和网络层过滤——就连技术用户在内,很多人也未能始终如一地执行这些措施。一个受信任的网站,其安全性取决于它所嵌入的第三方内容,而广告是网络上分布最广的第三方内容。我们此前曾探讨过嵌入第三方小部件的隐私代价;AdFection 表明,风险可以严重到整个设备被完全攻陷。 这一事件也与更早的历史相呼应。2000 年代末,drive-by 下载让恶意网页仅凭访问就变得危险,当时的标准建议是远离可疑网站并及时更新软件。AdFection 属于这一谱系,但颠倒了其中的几何关系:恶意内容是通过信誉良好的发布者流向受害者的,而不是相反。从功能上看,广告网络是一个全球性的内容分发系统,对于谁可以付费投放、谁会看到结果,它的透明度十分有限。这种不透明并非系统的偶然缺陷,而是市场设计的一部分。在这一现状改变之前,把任何站点上嵌入的每一条广告都当作不可信内容来对待,才是合理的默认姿态。
