Рекламные сети могут использоваться для скрытой доставки правительственного шпионского программного обеспечения на устройства конкретных людей. К такому выводу пришли специалисты Citizen Lab — подразделения Университета Торонто, изучающего нарушения цифровых прав и практики слежки. Их новый отчёт показывает, что вредоносная реклама способна незаметно заражать устройства без перехода пользователя по ссылке или открытия сообщения.
Исследователи изучили деятельность израильской компании Discover-Tech, которая представляет себя как рекламный бизнес. По данным Citizen Lab, её платформа Controlium фактически связывает поставщиков рекламы с коммерческими разработчиками шпионских программ и позволяет выбирать почти любые устройства или отдельных пользователей по всему миру. Среди клиентов платформы, как утверждается, были создатели шпионских продуктов Candiru и Bindecy.
Обе системы относятся к классу программ с атакой без взаимодействия пользователя: для заражения человеку не требуется нажимать на ссылку или открывать сообщение. Один из выявленных эпизодов затронул как минимум 45 компьютеров под управлением Windows в медиакомпании Al Jazeera. По данным Citizen Lab, устройства могли быть взломаны в 2024 и 2025 годах после показа онлайн-рекламы с вредоносным кодом, связанным с Candiru.
Кто именно стоял за этими атаками, установить не удалось. При этом Citizen Lab назвала случай первым подтверждённым примером доставки поддерживаемого государством шпионского ПО с нулевым взаимодействием через интернет-рекламу. «There has been a lot of buzz that online ads can be used to identify and automatically hack targets with pinpoint precision, but now for the first time, we have concrete technical evidence showing this process in action», — заявил старший исследователь Citizen Lab Билл Марчак перед публикацией отчёта.
Платформа Controlium также имела серьёзные проблемы с защитой. Часть исходного кода была доступна на страницах входа, что позволило исследователям восстановить веб-панель управления без авторизации. Кроме того, на сайте Discover-Tech находился открытый раздел, через который можно было скачать массивы данных для входа в систему, включая сведения как минимум о двух сотрудниках Candiru и пользователей, связанных с Bindecy.
Исследователи обнаружили и миллиарды записей рекламных аукционов. Они показывают, что с марта по июнь 2026 года объявления Discover-Tech демонстрировались в десятках тысяч приложений и сайтов, в том числе на устройствах военных, государственных структур, объектов критической инфраструктуры и национальных киберагентств. Специалисты компании Confiant, помогавшей Citizen Lab, также нашли потенциально вредоносную рекламу в сетях Международного агентства по атомной энергии и Международного уголовного суда, однако факт заражения этих устройств не подтверждён.
Злоупотребление рекламными сетями для распространения вредоносного кода известно как malvertising (вредоносная реклама), но применение таким способом мощного государственного шпионского ПО исследователи считают новым уровнем угрозы. Марчак назвал Discover-Tech «лишь верхушкой айсберга» и призвал потенциальные цели отключать отслеживание рекламы или полностью блокировать объявления. Al Jazeera, Discover-Tech и компания Integrity Labs, связанная с разработчиком Candiru, не ответили на запросы TechCrunch о комментариях.