Что установил отчёт Citizen Lab
15 октября 2026 года Citizen Lab опубликовал отчёт «AdFection», в котором говорится, что платформа израильской рекламной компании Discover-Tech позволяла производителям наёмного шпионского ПО нацеливать конкретных людей и устройства практически в любой точке мира. Вредоносная онлайн-реклама устанавливает на устройства шпионское ПО с «zero-click» (без кликов) — то есть жертве не нужно открывать сообщение или переходить по ссылке. Отчёт осветил TechCrunch, а Ars Technica независимо подтвердил выводы исследования.
«Zero-click» означает, что устройство заражается без единого действия пользователя: сообщение не открывается, ссылка не нажимается, файл не скачивается. Такое шпионское ПО продаётся правительственным клиентам; в данном случае как минимум два его производителя — Candiru и Bindecy — использовали платформу Discover-Tech для выявления и отбора целей.
На практике это означает, что злоумышленнику больше не нужно отправлять жертве фишинговое письмо или уговаривать её перейти по вредоносной ссылке. Рекламная сеть выполняет атаку через свою обычную работу — показ нужной рекламы нужному человеку. Когда жертва открывает обычную веб-страницу или использует приложение, устройство уже заражено через рекламу, показанную на экране.
Citizen Lab назвал этот случай первым подтверждённым примером распространения правительственного zero-click-шпионского ПО через онлайн-рекламу. По оценке исследователей, под угрозой оказывается огромное количество устройств по всему миру. Это резко отличается от классических атак вредоносной рекламы («малвертайзинг»): традиционный малвертайзинг обычно массовый и случайный, а здесь реклама точно нацелена, и устройство, её увидевшее, взламывается автоматически. Таким образом, онлайн-реклама превратилась не просто в инструмент обмана, а в автоматический канал целевых атак.
Как были взломаны компьютеры Al Jazeera
По данным отчёта, в 2024–2025 годах не менее 45 компьютеров на Windows медиакомпании Al Jazeera были взломаны шпионским ПО Candiru после показа онлайн-рекламы, содержавшей вредоносный код. Исследователи установили, что устройства были заражены именно после показа вредоносной рекламы. В отчёте указано «не менее 45» — это случаи, которые исследователям удалось доказать; то, что атаки растянулись на два года, показывает, что это была не разовая операция, а долгосрочная кампания нацеливания.
Это были не случайно распространённые вредоносные рекламные объявления, а целенаправленные атаки на заранее отобранные устройства. Сама рекламная экосистема использовалась как механизм нацеливания: данные о том, кому и на каком устройстве показывается реклама, позволили злоумышленникам найти нужную цель и доставить на неё вредоносный код.
Candiru и Bindecy — как минимум два производителя zero-click-шпионского ПО, использовавших платформу Discover-Tech для отбора целей. Обе компании продают свои продукты наблюдения правительственным клиентам. По данным Citizen Lab, их вредоносные программы доставлялись конкретным людям и устройствам через рекламную сеть Discover-Tech.
Уязвимости в системе Discover-Tech
Исследователи Citizen Lab обнаружили серьёзные недостатки безопасности в панели управления Controlium компании Discover-Tech. На страницах входа в систему остался открытым исходный код; кроме того, из открытого раздела, доступного без пароля, исследователи скачали журналы входа пользователей — среди них были учётные данные как минимум двух сотрудников Candiru. Эти журналы показывают, что сотрудники Candiru пользовались платформой Discover-Tech.
Кроме того, открытые записи аукционов рекламы (bidding) на сайте Discover-Tech, исчисляемые миллиардами, показали, что реклама компании с марта по июнь 2026 года показывалась в десятках тысяч мобильных приложений и на веб-сайтах — в том числе на устройствах, используемых военными, правительствами, критической инфраструктурой и национальными киберведомствами. Иными словами, реклама, распространявшаяся через платформу, достигала не только журналистов, но и устройств государственных структур. Масштаб открытых записей — миллиарды — показывает, что сама платформа не соблюдала гигиену безопасности: исследователи собрали столько данных из открытых источников, не имея никакого несанкционированного доступа.
Что говорят эксперты
«Этот отчёт впервые предоставляет чёткие технические доказательства того, что онлайн-реклама может выявлять цели и автоматически взламывать их с «крайне высокой» точностью», — сказал TechCrunch старший исследователь Citizen Lab Билл Марчак.
Марчак рекомендовал людям, которые могут стать мишенью, отключить рекламное отслеживание или полностью заблокировать рекламу. Отчёт также выявил проблему прозрачности в экосистеме рекламных технологий: открытые записи, исчисляемые миллиардами, позволили исследователям нанести на карту охват платформы.
Вывод Citizen Lab таков: экосистема онлайн-рекламы стала не только коммерческим инструментом, но и инфраструктурой киберопераций, поддерживаемых правительствами. Значимость отчёта «AdFection» в том, что он впервые полностью задокументировал технические доказательства этого процесса.
