Cyberatak bez kliknięcia? AdFection to nowe oszustwo z wykorzystaniem reklam internetowych
Jak się okazuje, za reklamą wyświetlaną na stronie internetowej może stać coś więcej niż tylko irytujący dodatek. Najnowsze ustalenia badaczy z University of Toronto wskazują, że system reklamowy może zostać wykorzystany do dostarczania oprogramowania szpiegującego na urządzenia wybranych osób. Co szczególnie niepokojące, w opisanym mechanizmie ofiara nie musi nawet klikać w podejrzany link ani pobierać dodatkowego pliku. Czym zatem jest AdFection i jak się przed tym bronić?
Reklamy internetowe wykorzystano do ataków bez kliknięcia
Kilka dni temu, a dokładnie 15 października 2026 roku zespół Citizen Lab, działający przy Uniwersytecie w Toronto, opublikował ciekawy raport opisujący nową technikę oszustwa nazwaną AdFection. Badacze przedstawili w nim dowody wskazujące, że reklamy internetowe zostały już wykorzystane do dostarczania komercyjnego oprogramowania szpiegującego na urządzenia pracowników katarskiej stacji telewizyjnej Al Jazeera. Według ustaleń naukowców zagrożenie dotyczyło co najmniej 45 urządzeń. Może i sama liczba nie robi wrażenia, ale bardziej niepokojący jest sam sposób przeprowadzenia takiego ataku.
W tradycyjnych kampaniach phishingowych przestępcy próbują nakłonić ofiarę do otwarcia danego załącznika, pobrania pliku albo zalogowania się na fałszywej stronie. W przypadku AdFection może wystarczyć samo wyświetlenie odpowiednio przygotowanej reklamy. Nie trzeba jej otwierać ani wchodzić z nią w jakąkolwiek interakcję. Właśnie dlatego mechanizm już teraz zalicza się do ataków typu zero-click, czyli niewymagających kliknięcia ze strony użytkownika.
Co bardziej interesujące, według badaczy, za opisaną kampanią stała izraelska firma Discover-Tech, która przedstawiała się jako agencja reklamy cyfrowej. Jej platforma Controlium miała umożliwiać identyfikowanie konkretnych osób, analizowanie informacji o ich urządzeniach i kierowanie do nich oprogramowania szpiegującego pochodzącego od zewnętrznych dostawców. Citizen Lab powiązało tę infrastrukturę z programem Candiru, znanym również pod nazwą Integrity Labs. Jednocześnie warto pamiętać, że jest to ustalenia badawcze, a nie dowód, że każda reklama tej firmy prowadziła do infekcji naszego smartfona.
Jak zwykła reklama może doprowadzić do infekcji urządzenia?
Żeby zrozumieć skalę problemu, trzeba przyjrzeć się temu, co dzieje się podczas otwierania strony internetowej lub aplikacji mobilnej. Reklama nie zawsze jest po prostu obrazkiem albo krótkim filmem. Jej wyświetlenie może uruchamiać dodatkowy kod, który komunikuje się z serwerami reklamowymi i przekazuje informacje o przeglądarce, urządzeniu czy identyfikatorach wykorzystywanych do śledzenia użytkowników. Tak zdobyte dane pomagają reklamodawcom docierać do określonych odbiorców.
W opisywanym mechanizmie system reklamowy może pomóc ustalić, kto zobaczył konkretną kreację, a następnie sprawdzić, czy urządzenie odpowiada profilowi poszukiwanego celu. Jeśli tak, infrastruktura atakujących może skierować do niego kolejne elementy złośliwego kodu, wykorzystujące podatności przeglądarki lub systemu operacyjnego przykładowo w laptopie. Cały proces może przebiegać w tle, bez wyraźnego ostrzeżenia na ekranie. Samo wyświetlenie reklamy nie oznacza jednak automatycznie, że urządzenie zostało zainfekowane.
Badacze zwracają uwagę, że ryzyko nie wynika wyłącznie z działania pojedynczej firmy. Istotna jest konstrukcja całego rynku reklamowego, na którym wiele podmiotów pośredniczy w wyświetlaniu treści. Zautomatyzowane aukcje reklamowe odbywają się w ułamkach sekund, a informacje o użytkowniku trafiają do kolejnych uczestników procesu. Tak rozbudowany łańcuch utrudnia kontrolowanie wszystkich elementów reklamy i sprawdzanie, czy każdy pośrednik działa zgodnie z ustalonymi zasadami.
Miliony wyświetleń i możliwe zagrożenie dla instytucji państwowych
Skala działalności opisanej w raporcie jest duża. Citizen Lab przeanalizowało około czterech miliardów rekordów związanych z aukcjami reklamowymi. Z danych wynika, że w badanym okresie czterech miesięcy reklamy Discover-Tech pojawiały się na niemal 200 tysiącach różnych stron internetowych oraz w aplikacjach na Androida i iOS. Naukowcy odnotowali również połączenia milionów urządzeń z serwerami powiązanymi z Candiru, które mogły służyć do śledzenia i rozpoznawania potencjalnych celów.
Z ustaleń wynika również, że reklamy trafiały do użytkowników korzystających z sieci instytucji rządowych w Europie i Stanach Zjednoczonych, a także organizacji międzynarodowych, w tym NATO, Organizacji Narodów Zjednoczonych i Międzynarodowej Agencji Energii Atomowej. Warto brać pod uwagę, że sama obecność reklamy w takiej sieci nie potwierdza jednak skutecznego ataku. Pokazuje jednak, że infrastruktura wykorzystywana do potencjalnego szpiegowania mogła docierać do miejsc, w których przetwarzane są informacje o dużym znaczeniu.
Co istotne, w raporcie pojawia się również polski wątek. Citizen Lab zidentyfikowało konta użytkowników platformy Controlium, które badacze powiązali z firmą Intelos. Jedno z nich, posługujące się nazwą "bear", logowało się do systemu między innymi z Polski. Nie jest to jednak dowód na zainfekowanie polskich urządzeń ani na przeprowadzenie ataku na polskie instytucje. Informacja dotyczy aktywności jednego użytkownika systemu i powiązań ustalonych podczas analizy.
Co można zrobić, aby ograniczyć ryzyko?
Po ujawnieniu ustaleń część branży reklamowej podjęła działania wobec Discover-Tech. Według Citizen Lab Google zakończyło współpracę z firmą w zakresie dostępu do swoich platform reklamowych, a IAB Europe usunęło ją z rejestru zatwierdzonych dostawców. Działania podjęły również inne podmioty, w tym Beeswax i Eskimi. Jest to ważny krok, ale nie rozwiązuje problemu wszystkich zagrożeń związanych z reklamami, śledzeniem użytkowników i wykorzystywaniem luk w zabezpieczeniach. Jak zatem naprawdę się przed nimi bronić?
Zwykli użytkownicy mogą ograniczyć część ryzyka, korzystając z aktualnego systemu operacyjnego, regularnie instalując poprawki bezpieczeństwa i wybierając przeglądarkę z rozbudowaną ochroną prywatności. Pomocne może być także ograniczenie śledzenia w ustawieniach aplikacji smartfona czy tabletu. Niestety żadne z tych rozwiązań nie daje całkowitej gwarancji ochrony przed zaawansowanym oprogramowaniem szpiegującym. W przypadku urządzeń służbowych szczególne znaczenie mają zabezpieczenia wdrażane przez organizację, w tym filtrowanie ruchu sieciowego i kontrola dostawców usług reklamowych.
Jakby jednak nie patrzeć, przypadek AdFection pokazuje, że zagrożenie nie zawsze zaczyna się od podejrzanej wiadomości czy fałszywej strony logowania. Wykorzystana przeciwko użytkownikowi może zostać także infrastruktura, która na co dzień odpowiada za wyświetlanie reklam. Dlatego cyberbezpieczeństwo wymaga nie tylko ostrożności ze strony internautów, lecz także skuteczniejszej kontroli firm uczestniczących w cyfrowym rynku reklamowym.