AdFection: jak izraelska firma zamieniła reklamy internetowe w narzędzie do szpiegowania

Reklama, której nie trzeba kliknąć, żeby zainfekować urządzenie. Izraelska firma Discover-Tech wykorzystywała infrastrukturę reklamową Google'a, Yandexa i innych dostawców do profilowania milionów użytkowników oraz selektywnego dostarczania spyware Candiru. Citizen Lab potwierdził infekcje urządzeń Al Jazeery, a analiza niemal czterech miliardów ofert reklamowych ujawniła skalę operacji. Najbardziej niepokojące jest jednak to, że firma przez lata funkcjonowała w ekosystemie zatwierdzonych dostawców reklam.

15 października 2026 roku Citizen Lab, działające przy University of Toronto, opublikowało raport nr 195 zatytułowany "Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware".

Opracowanie przygotowane przez Billa Marczaka, Wolfiego Christla, Johna Scotta-Railtona, Sienę Anstis, Astrid Perry i Rona Deiberta przedstawia pierwsze publiczne techniczne potwierdzenie skutecznych infekcji urządzeń komercyjnym oprogramowaniem szpiegującym dostarczanym za pośrednictwem reklam internetowych, bez konieczności kliknięcia w reklamę przez użytkownika.

Równolegle własne ustalenia opublikowała firma Confiant, specjalizująca się w wykrywaniu złośliwych reklam i zagrożeń w łańcuchu dostaw technologii reklamowych.

Badacze nazwali ten mechanizm "AdFection".

Jego istota jest prosta, choć realizacja techniczna dość zaawansowana: infrastruktura stworzona do profilowania użytkowników i wyświetlania im spersonalizowanych reklam została wykorzystana do identyfikowania konkretnych osób, a następnie dostarczania wybranym urządzeniom złośliwego kodu. Nie trzeba otwierać podejrzanego załącznika, pobierać programu ani klikać w fałszywy komunikat. Wystarczy, że strona internetowa lub aplikacja załaduje odpowiednio przygotowaną reklamę. Oczywiście samo wyświetlenie reklamy nie oznacza infekcji. I właśnie to rozróżnienie jest kluczowe dla zrozumienia całej operacji.

Discover-Tech. Firma reklamowa z drugim obliczem

Centralnym podmiotem śledztwa jest izraelska firma Discover-Tech, przedstawiająca się jako dostawca usług technologii reklamowych. W rzeczywistości, według ustaleń Citizen Lab, przedsiębiorstwo pełniło funkcję pośrednika między legalnym ekosystemem reklamy programatycznej a podmiotami zajmującymi się komercyjną inwigilacją.

Jednym z nich było Candiru, znane również pod późniejszymi nazwami Integrity Labs i Saito Tech. Firma ta należy do sektora mercenary spyware, czyli komercyjnych dostawców zaawansowanego oprogramowania szpiegującego wykorzystywanego przez klientów prowadzących operacje inwigilacyjne.

Discover-Tech operowało między innymi dwiema platformami:

• MyDSP > platformą typu Demand-Side Platform, pozwalającą uczestniczyć w aukcjach reklamowych i kupować powierzchnię reklamową.

• Controlium > systemem umożliwiającym klientom zarządzanie profilowaniem, identyfikatorami użytkowników i operacjami kierowanymi przeciwko wybranym urządzeniom.

To połączenie dawało operatorom dostęp do niezwykle rozbudowanego mechanizmu selekcji celów. Z jednej strony mogli korzystać z danych udostępnianych w ramach aukcji reklamowych. Z drugiej – decydować, które urządzenia powinny zostać przekierowane do infrastruktury dalszego ataku.

Co szczególnie istotne, Discover-Tech od około 2020 roku figurowało w branżowych rejestrach zatwierdzonych dostawców, prowadzonych między innymi przez Google i IAB Europe. Obecność na takich listach pomagała firmie funkcjonować jako pozornie wiarygodny uczestnik rynku reklamowego. Podmiot powiązany z dostarczaniem spyware nie musiał włamywać się do systemu reklamowego. Korzystał z dostępu, jaki ten system sam mu zapewniał.

Prawie cztery miliardy ofert reklamowych

Jednym z najważniejszych elementów śledztwa była analiza danych MyDSP z okresu od marca do czerwca 2026 roku. Citizen Lab odnalazł publicznie dostępne instancje Apache Druid wykorzystywane przez Discover-Tech. Umożliwiły one analizę szczegółowych danych dotyczących aukcji reklamowych, bez konieczności przełamywania zabezpieczeń infrastruktury.

Badacze ustalili, że MyDSP uczestniczyło w licytacjach na ogromną skalę.

Najważniejsze liczby:

• 3 770 286 576 ofert złożonych w aukcjach reklamowych

• 441 954 291 wygranych aukcji, co odpowiada skuteczności około 11,7%

• 120 768 witryn internetowych, na których wyświetlano reklamy zawierające charakterystyczne tagi skryptowe

• 75 373 aplikacje Android i iOS, w których wyświetlano takie reklamy

• 161 państw, do których geolokalizowano adresy IP użytkowników objętych ofertami dotyczącymi reklam NOAS

Około 76,7% analizowanych ofert dotyczyło reklam w aplikacjach mobilnych, a pozostałe 23,3% - reklam wyświetlanych w przeglądarkach internetowych. Według analizy danych wydatki reklamowe wyniosły około 109 tys. dolarów. Pola związane z przychodami, zyskiem i konwersjami przez niemal cały badany okres pozostawały zerowe.

Taki profil działalności trudno uznać za typową kampanię reklamową nastawioną na sprzedaż produktów lub usług. Sam Citizen Lab nie znalazł przekonujących dowodów świadczących o prowadzeniu przez Discover-Tech zwykłej, legalnej działalności reklamowej jako rzeczywistym celu tych operacji.

Gdzie pojawiały się reklamy?

Reklamy Discover-Tech znaleziono między innymi na stronach BBC, New York Times, CBC, Fox News, Haaretz, AccuWeather oraz w licznych serwisach regionalnych. W przypadku aplikacji mobilnych wymieniono między innymi:

• Duolingo

• Viber

• Yahoo Mail

• Truecaller

• aplikacje pogodowe

• aplikacje randkowe

• kalendarze menstruacyjne

• gry mobilne i aplikacje multimedialne

To oczywiście nie oznacza, że wymienione redakcje albo twórcy aplikacji świadomie uczestniczyli w operacji szpiegowskiej. Reklamy były dostarczane przez złożony łańcuch pośredników i platform reklamowych, a właściciel serwisu nie musiał wiedzieć, jaki kod zostanie ostatecznie zwrócony konkretnemu użytkownikowi.

Dane wykazały również wyświetlanie reklam na urządzeniach korzystających z sieci powiązanych z NATO, instytucjami międzynarodowymi, ministerstwami obrony, siłami zbrojnymi, agencjami cyberbezpieczeństwa i infrastrukturą krytyczną...

Wskazuje na możliwość profilowania urządzenia oraz potencjalnego skierowania go do dalszych etapów operacji. To istotne rozróżnienie, ponieważ skala profilowania była znacznie większa niż liczba publicznie potwierdzonych skutecznych ataków.

Jak działał AdFection? Techniczny łańcuch ataku

Mechanizm wykorzystywał standardowe elementy współczesnej reklamy programatycznej, łącząc je z infrastrukturą profilowania i dostarczania spyware.

Etap 1. Real-Time Bidding, czyli aukcja reklamowa

Kiedy użytkownik uruchamia aplikację lub otwiera stronę internetową, system reklamowy może przeprowadzić aukcję RTB (Real-Time Bidding). W ułamku sekundy dostawcy reklam otrzymują żądanie zawierające informacje pozwalające określić, komu i na jakim urządzeniu reklama ma zostać wyświetlona.

W zależności od środowiska i dostępnych danych mogą to być między innymi adres IP, identyfikatory reklamowe urządzenia, identyfikatory cookies, informacje o lokalizacji, systemie operacyjnym i aplikacji. Discover-Tech wykorzystywało MyDSP do uczestniczenia w takich aukcjach.

Platforma współpracowała z ekosystemami reklamowymi obejmującymi Google, Yandexa, Vungle i Sunteng. Osobno firma korzystała również z usług Eskimi i Beeswax. Już na tym etapie dane reklamowe mogły pomagać w rozpoznawaniu urządzeń i budowaniu profili użytkowników.

Etap 2. Wygrana aukcja i załadowanie reklamy

Jeśli Discover-Tech wygrało aukcję, reklama trafiała do przeglądarki lub aplikacji użytkownika. Nie musiała wyglądać podejrzanie. Mogła przypominać zwyczajny baner reklamowy, a czasami jej elementy ładowały się w tle. Wiele takich reklam zawierało odwołanie do serwera określanego przez operatora jako NOAS, znanego również jako getAd server.

Przykładem tego rodzaju infrastruktury była domena mtrtb[.]com i powiązane z nią serwery. Przy renderowaniu reklamy wykonywany był kod żądający dalszego JavaScriptu od Discover-Tech. I właśnie tutaj następowało rozdzielenie zwykłego wyświetlenia reklamy od potencjalnego ataku.

Etap 3. Profilowanie i identyfikacja urządzenia

Serwer NOAS otrzymywał informacje pozwalające powiązać żądanie z konkretnym użytkownikiem lub urządzeniem. Mogły to być identyfikatory reklamowe, cookies, publiczny adres IPv6 i inne dane dostępne w kontekście przeglądarki lub aplikacji.

Discover-Tech wykorzystywało również mechanizmy łączenia różnych identyfikatorów w celu tworzenia bardziej rozbudowanego profilu użytkownika. Dla większości urządzeń serwer nie zwracał żadnego kodu JavaScript przeznaczonego do dalszego wykonania. Nie oznaczało to jednak braku zbierania danych.

Według Citizen Lab i Confiant infrastruktura Discover-Tech umożliwiała szerokie profilowanie i identyfikowanie osób, a także pozyskiwanie dodatkowych informacji z kontekstu reklamowego. Badacze opisali również przypadki dostępu do cookies stron wydawców, w tym potencjalnie wrażliwych danych sesyjnych. W praktyce infrastruktura reklamowa była wykorzystywana nie tylko do wyświetlania reklamy, lecz również do budowania szczegółowego obrazu aktywności użytkownika.

Etap 4. Selektywne dostarczenie kodu

Jeżeli urządzenie pasowało do profilu wyznaczonego celu, serwer NOAS mógł zwrócić kod JavaScript. Kod ten uruchamiał kolejne elementy łańcucha, między innymi przez utworzenie niewidocznej ramki iframe o wymiarach 1x1 piksela. Ramka mogła kierować przeglądarkę do infrastruktury walidującej powiązanej z Candiru.

Serwer walidujący sprawdzał urządzenie i decydował o dalszym postępowaniu. W przypadku zakwalifikowania celu urządzenie mogło zostać skierowane do infrastruktury wykorzystującej podatności. Nie wymagało to kliknięcia reklamy przez użytkownika. To właśnie istota ataku określanego jako zero-click.

Co ważne, sam kod reklamy nie musiał zawierać exploitu bo złośliwe elementy pojawiały się dopiero na kolejnych etapach i tylko wobec wybranych urządzeń. Dzięki temu automatyczne systemy kontroli reklam mogły zobaczyć nieszkodliwą odpowiedź, podczas gdy rzeczywisty cel otrzymywał zupełnie inny kod. Technika ta jest przykładem cloakingu, czyli selektywnego ukrywania funkcjonalności lub treści.

Etap 5. Exploit, infekcja i komunikacja C2

Po walidacji urządzenia następował etap wykorzystania podatności i próby instalacji spyware. W skutecznie zainfekowanym środowisku implant nawiązywał komunikację z serwerem dowodzenia i kontroli, określanym jako C2 lub C&C (Command and Control). Citizen Lab nie odzyskał pełnego kodu exploitu używanego na wcześniejszym etapie infekcji. Badacze dysponowali jednak logami sieciowymi, danymi infrastrukturalnymi i próbką implantu odzyskaną ze skompromitowanego urządzenia. Pozwoliło to z wysokim stopniem pewności powiązać zaobserwowany łańcuch z Candiru.

Al Jazeera. Potwierdzone ataki i infekcje

Najważniejsze dowody dotyczące skutecznego wykorzystania AdFection pochodzą z sieci międzynarodowej organizacji medialnej Al Jazeera. W latach 2024 - 2025 co najmniej 45 urządzeń należących do środowiska Al Jazeery zostało objętych atakami powiązanymi z infrastrukturą Discover-Tech. Citizen Lab potwierdził skuteczne infekcje urządzeń oprogramowaniem Candiru.

Analiza logów sieciowych pozwoliła wyróżnić charakterystyczną sekwencję:

1. Kontakt urządzenia z infrastrukturą Discover-Tech, odpowiadający wyświetleniu reklamy

2. Połączenie z serwerem walidującym Candiru

3. Dalsze profilowanie i etap wykorzystania podatności

4. Komunikacja skutecznie zainfekowanego urządzenia z serwerem C2

Z jednego z zainfekowanych komputerów z systemem Windows odzyskano bibliotekę DLL, której analiza dostarczyła dodatkowych dowodów technicznych. Próbka wykazywała cechy charakterystyczne dla wcześniej analizowanych implantów Candiru, znanych również pod nazwą DevilsTongue. Wśród nich znalazły się mechanizmy utrzymywania obecności w systemie przez COM hijacking oraz obfuskacja ciągów znaków wykorzystująca powtarzający się, 48-bajtowy klucz XOR.

SHA-256 odzyskanej próbki:

255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8

Badacze rozróżnili również serwery pełniące odmienne funkcje w infrastrukturze Candiru. Przykładowe serwery walidujące:

• keyadapter[.]com

• sharethere[.]net

Przykładowe domeny C2:

• fearevolve[.]com

• jobmarcher[.]com

Nie należy traktować tych dwóch kategorii zamiennie. Serwer walidujący uczestniczy w selekcji i weryfikacji celu, podczas gdy infrastruktura C2 obsługuje komunikację z działającym implantem. Wymienione domeny są historycznymi wskaźnikami kompromitacji (Indicators of Compromise). Nie należy zakładać, że obecnie pełnią te same funkcje ani że każda aktywność związana z nimi oznacza aktywną infekcję.

Controlium. Panel operacyjny i zaskakujące błędy bezpieczeństwa

Osobnym elementem śledztwa była analiza platformy Controlium. System oferował funkcje umożliwiające zarządzanie identyfikatorami urządzeń, przesyłanie list celów i konfigurowanie operacji reklamowych. Citizen Lab wykrył również poważne problemy z kontrolą dostępu.

Jednym z nich był endpoint /csv-download, pozwalający pobierać logi uwierzytelniania bez konieczności podawania hasła lub tokenu. Badacze uzyskali w ten sposób dane obejmujące 128 dni i zidentyfikowali 120 nazw użytkowników logujących się do instancji Controlium. To szczególnie interesujące w przypadku systemu wykorzystywanego do operacji inwigilacyjnych.

Platforma, która miała pomagać identyfikować i śledzić inne osoby, sama ujawniała informacje dotyczące swoich użytkowników. Badacze opisali również nieprawidłowe wykorzystanie mechanizmu uwierzytelniania Auth0. Zamiast prawidłowo weryfikować podpisany token JWT, platforma opierała się na innym mechanizmie zawierającym dane użytkownika, co potencjalnie umożliwiało podszywanie się pod uprawnione konto. Citizen Lab nie próbował wykorzystywać tej podatności do uzyskania nieautoryzowanego dostępu.

Polski ślad w logach Controlium

Wśród użytkowników platformy znaleziono konto o nazwie bear, które według analizy Citizen Lab było powiązane z grupą kont przypisywanych firmie Intelos. Logowania tego użytkownika pochodziły z adresów IP geolokalizowanych w Belgii, Izraelu, Singapurze i Polsce. Badacze wskazali, że w zestawieniu uwzględniono lokalizacje niewyglądające na typowe połączenia VPN lub proxy.

Czy oznacza to, że polskie służby korzystały z Discover-Tech? Dostępne dane nie pozwalają na taki wniosek. Adres IP geolokalizowany w Polsce nie identyfikuje automatycznie obywatelstwa użytkownika, jego pracodawcy ani rzeczywistego zleceniodawcy operacji. Nie wiadomo również, czy logowanie odbywało się z infrastruktury należącej do konkretnej instytucji publicznej. Obserwacja jest interesująca i uzasadnia dalsze pytania, ale nie stanowi dowodu wykorzystania platformy przez polskie służby specjalne. To klasyczny przypadek, w którym IP ≠ tożsamość ≠ instytucja.

Candiru nie było jedynym podmiotem

Śledztwo ujawniło, że Discover-Tech współpracowało lub było powiązane infrastrukturalnie również z innymi dostawcami komercyjnych technologii inwigilacyjnych. W raporcie pojawiają się między innymi firmy Bindecy i Intelos. Badacze opisali też odrębnego "aktora" oznaczonego jako DARK CARTOGRAPHER. Jego działalność obejmowała techniki masowej deanonimizacji użytkowników, w tym próby pozyskiwania numerów telefonów powiązanych z urządzeniami mobilnymi.

Wykorzystywano między innymi problemy związane z mechanizmami identyfikacji stosowanymi przez operatorów komórkowych, w tym podatności w rozwiązaniach typu zero-click login i nieprawidłowe mechanizmy przekazywania informacji o numerach telefonów. W określonych warunkach mogło to umożliwiać powiązanie identyfikatorów reklamowych i aktywności internetowej z konkretnymi numerami telefonów.

Nie każdy taki przypadek wiązał się z infekcją spyware. Pokazuje to jednak, że ta sama infrastruktura reklamowa może służyć zarówno do selektywnego dostarczania złośliwego kodu, jak i masowej inwigilacji bez instalowania oprogramowania na urządzeniu ofiary.

Dlaczego systemy reklamowe tego nie zatrzymały?

Jedną z najbardziej niepokojących części całej historii jest sposób funkcjonowania Discover-Tech wewnątrz legalnego rynku reklamowego. Firma przez lata znajdowała się na listach dostawców akceptowanych przez Google i IAB Europe. Takie wpisy ułatwiały uczestnictwo w ekosystemie programatycznym i budowały pozory wiarygodności. Nie oznacza to, że Google czy inni dostawcy reklam wiedzieli o atakach i świadomie je wspierali.

Problem jest inny. Zaufany uczestnik łańcucha reklamowego był w stanie wykorzystać standardowe funkcje systemu do działań wykraczających daleko poza zwykłą reklamę. Technicznie mechanizm opierał się na kilku właściwościach:

• bardzo precyzyjnym kierowaniu reklam do konkretnych odbiorców

• wykorzystaniu identyfikatorów urządzeń i adresów IP

• dynamicznym ładowaniu kodu JavaScript

• zwracaniu odmiennych odpowiedzi zależnie od rozpoznanego użytkownika

• ukrywaniu rzeczywistej funkcjonalności przed automatycznymi systemami kontroli reklam

W praktyce pozwalało to na wyświetlanie nieszkodliwych reklam systemom weryfikacyjnym i zwykłym użytkownikom, przy jednoczesnym dostarczaniu złośliwego kodu wyłącznie wybranym celom. To poważna słabość modelu opartego na zaufaniu do zatwierdzonych dostawców. Certyfikacja nie zastępuje stałej kontroli kodu i rzeczywistego zachowania infrastruktury reklamowej.

Jak zareagowały platformy?

Po ujawnieniu ustaleń badaczy podjęto działania wobec Discover-Tech. Google usunął firmę z rejestrów dostawców oraz zakończył jej dostęp do własnych giełd reklamowych. Wdrożono również ochronę Safe Browsing wobec znanej infrastruktury zagrożenia. IAB Europe usunęło Discover-Tech ze swojej Global Vendor List 8 października 2026 roku, Beeswax usunęło Discover-Tech z platformy Buyer Cloud. Eskimi zablokowało powiązane konta i domeny, wskazując na stosowanie mechanizmów utrudniających automatyczne wykrywanie złośliwej aktywności. Vungle (Liftoff) wstrzymało dostęp firmy do swojej infrastruktury na czas wewnętrznego przeglądu.

Działania te ograniczyły możliwość dalszego wykorzystywania wskazanych platform reklamowych. Nie oznacza to jednak, że usunięto wszystkie możliwe sposoby wykorzystania reklamy programatycznej do inwigilacji. Sam model techniczny pozostaje potencjalnie możliwy do odtworzenia przez innych aktorów.

Jak chronić się przed AdFection?

Ataki wykorzystujące reklamy do dostarczania spyware są trudne do zauważenia, ponieważ nie wymagają od użytkownika typowych działań prowadzących do infekcji. Nie ma konieczności kliknięcia odsyłacza, zatwierdzenia pobierania pliku ani ręcznego uruchomienia programu. Najważniejszym celem obrony jest zatem ograniczenie powierzchni ataku związanej z reklamami, skryptami i profilowaniem.

Blokowanie reklam i skryptów

Rozwiązania takie jak uBlock Origin, AdGuard czy Brave Shields mogą znacząco ograniczać liczbę ładowanych reklam i skryptów pochodzących od zewnętrznych dostawców. Nie stanowią gwarancji pełnej ochrony przed zaawansowanym spyware, ale eliminują część mechanizmów wykorzystywanych do uruchamiania łańcuchów reklamowych. Warto również ograniczać wykonywanie skryptów pochodzących z niezaufanych domen, z uwzględnieniem kompatybilności odwiedzanych stron i aplikacji.

Filtrowanie DNS

Pi-hole, NextDNS czy AdGuard DNS pozwalają blokować połączenia do znanych domen reklamowych i śledzących. To użyteczne rozwiązania zarówno w sieciach domowych, jak i firmowych. Trzeba jednak pamiętać, że filtrowanie DNS nie zatrzyma każdego ataku, szczególnie jeżeli złośliwe zasoby są dostarczane z domen współdzielonych z legalnymi usługami albo przez aplikacje korzystające z niestandardowych mechanizmów rozwiązywania nazw.

Ograniczenie profilowania reklamowego

Warto ograniczyć wykorzystywanie identyfikatorów reklamowych na urządzeniach mobilnych. Tam, gdzie system operacyjny to umożliwia, można ograniczyć śledzenie, zresetować identyfikator reklamowy lub go usunąć. Należy również ograniczać uprawnienia aplikacji, szczególnie dostęp do lokalizacji i danych, których dana aplikacja nie potrzebuje do prawidłowego działania. Nie zapewni to pełnej anonimowości, ponieważ profilowanie może wykorzystywać także adresy IP, cookies i inne sygnały.

Aktualizacje systemów i przeglądarek

Regularne aktualizowanie systemu operacyjnego, przeglądarki i aplikacji pozostaje istotnym elementem ochrony. Ataki zero-click mogą wykorzystywać podatności zero-day, ale również znane błędy bezpieczeństwa, dla których dostępne są już poprawki. Zmniejszenie liczby podatnych komponentów ogranicza możliwości powodzenia infekcji.

Ochrona środowisk firmowych

Organizacje, redakcje, instytucje publiczne i operatorzy infrastruktury krytycznej powinny rozważyć centralne ograniczenie ładowania reklam na urządzeniach służbowych. Można do tego wykorzystać między innymi:

• filtrowanie DNS

• firmowe rozwiązania Secure Web Gateway

• proxy i polityki dostępu do treści

• kontrolę niezatwierdzonych skryptów

• ochronę punktów końcowych

• monitoring anomalii w komunikacji wychodzącej

W przypadku systemów o podwyższonym znaczeniu bezpieczeństwa warto rozważyć całkowite wyłączenie reklam i niepotrzebnych zewnętrznych komponentów webowych. Monitoring powinien uwzględniać nietypowe sekwencje połączeń następujących po załadowaniu stron lub aplikacji, szczególnie komunikację z nieznanymi domenami i serwerami o charakterystyce infrastruktury C2. Nie należy jednak zakładać, że każde połączenie do domeny reklamowej stanowi zagrożenie. Analiza wymaga kontekstu, korelacji zdarzeń i weryfikacji wskaźników kompromitacji.

Problem większy niż jedna izraelska firma

Operacja AdFection pokazuje coś znacznie poważniejszego niż kolejną kampanię dystrybucji złośliwego oprogramowania. Współczesny system reklamowy został zaprojektowany tak, aby możliwie dokładnie rozpoznawać odbiorców, identyfikować ich urządzenia, analizować zachowanie i dostarczać im odpowiednio dobrane treści.

Mechanizmy te są przydatne dla reklamodawców. Są również niezwykle atrakcyjne dla podmiotów prowadzących inwigilację. Jeżeli dostawca spyware uzyska dostęp do infrastruktury reklamowej, może korzystać z rozbudowanych mechanizmów identyfikacji i selekcji celów bez konieczności budowania całego systemu od podstaw.

Dla zwykłego użytkownika reklama pozostaje reklamą. Dla operatora operacji inwigilacyjnej może stać się elementem systemu rozpoznania i dostarczania złośliwego kodu. Nie każda reklama jest zagrożeniem, nie każda wygrana aukcja prowadzi do ataku i nie każde profilowane urządzenie zostaje zainfekowane. Ale AdFection dowodzi, że istniejący ekosystem reklamowy może zostać wykorzystany do wszystkich tych działań.

Co więcej, nie jest to już wyłącznie teoretyczny scenariusz. Citizen Lab potwierdził rzeczywiste infekcje spyware Candiru dostarczanego przez reklamy internetowe. I właśnie to jest najważniejszym ustaleniem całego raportu.

Kilka słów na koniec

Przez lata Discover-Tech funkcjonowało w branży reklamowej jako wręcz zaufany i zweryfikowany dostawca, korzystając z infrastruktury największych uczestników rynku. Analiza niemal czterech miliardów (!) ofert reklamowych pokazała ogromny zasięg operacji, a badania urządzeń Al Jazeery pozwoliły potwierdzić wykorzystanie reklam do dostarczania komercyjnego spyware.

W tej sprawie nie chodzi wyłącznie o Candiru ani o jedną firmę działającą w Izraelu. Chodzi o fundamentalną właściwość współczesnego Internetu: infrastruktura służąca do wyświetlania reklam stała się jednocześnie systemem masowej identyfikacji, profilowania i obserwowania użytkowników. AdFection pokazał, że ta sama infrastruktura może zostać wykorzystana do selektywnego dostarczania exploitów.

Branża reklamowa od lat przekonuje użytkowników, że rozbudowane śledzenie jest konieczne, aby wyświetlać im bardziej dopasowane reklamy. Teraz okazało się, że podobny mechanizm może również pomóc ustalić, komu należy wyświetlić reklamę prowadzącą do infekcji spyware. Być może więc największym problemem reklamy internetowej nie jest już to, że wie o nas zbyt dużo. Problem w tym, kto jeszcze może z tej wiedzy korzystać.

Materiał źródłowy:

1. Citizen Lab, University of Toronto, "Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware", raport nr 195, 15 października 2026 r.
   https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/

2. Citizen Lab, "Exposing AdFection - Executive Summary", 15 października 2026 r.
   https://citizenlab.ca/research/exposing-adfection-executive-summary/

3. Confiant Threat Intelligence, "ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity Vacuuming", 15 października 2026 r.
   https://blog.confiant.com/p/adint-weaponized-ad-tech-for-zero-click-spyware-and-mass-identity-vacuuming

4. Confiant, "Not Business as Usual - Ads Weaponized for Surveillance".
   https://www.confiant.com/not-business-as-usual

Opracowanie HACKIN9.pl na podstawie badań Citizen Lab i Confiant, stan na 17 października 2026 r. Autorzy tekstu: Acid, RayZero oraz UltraLa5er.