Citizen Labi uurimisaruanne näitab, kui sügavalt on kommertsjärelevalve tunginud ülemaailmsesse reklaamiinfrastruktuuri. Raporti kohaselt kasutas Iisraeli reklaamitehnoloogiaettevõte Discover-Tech sihitud veebireklaame, et tuvastada, profiilida ja teatud juhtudel nakatada seadmeid Iisraeli teenusepakkuja Candiru nullklõpsuga nuhkvaraga. Selleks ei olnud vaja klõpsu. Citizen Lab räägib esimesest avalikult dokumenteeritud tehnilisest kinnitusest, et keerukas kommertsluuretarkvara edastati sihitud internetireklaami kaudu.
Ainuüksi väljapanek võib olla piisav
Põhimõte on sama lihtne kui plahvatusohtlik.
Igaüks, kes avab tänapäeval veebilehe või rakenduse, mis integreerib reklaami, käivitab tavaliselt automaatse oksjoni taustal. Millisekundite jooksul edastatakse info seadme, IP-aadressi, asukoha, kasutuskäitumise ja muude omaduste kohta erinevatele reklaamipartneritele.
Just seda infrastruktuuri väidetavalt kasutas Discover-Tech oma Controliumi platvormiga.
Citizen Labi andmetel suutis süsteem seadmeid anonümissioonidest vabastada, luua sõrmejälgi ja pakkuda valitud sihtmärkidele spetsiaalselt loodud reklaame. Mõnel juhul võis nuhkvara sisse süstida ilma, et kasutaja peaks reklaamile klõpsama või faili avama.
Oluline punkt: Rünnaku tee ei olnud kahtlane allalaadimisleht, võlts e-kiri ega sõnumi link – vaid interneti tavaline reklaamiinfrastruktuur.
Al Jazeeras on tõestatud vähemalt 45 seadet nakatunuks
Aastatel 2024–2025 suutis Citizen Lab tuvastada vähemalt 45 seadet, mis kuulusid uudistekanali Al Jazeera töötajatele, mis olid selliste nullklõpsu rünnakute tõttu kompromiteeritud.
Teadlaste sõnul mängis sihitud reklaamid Discover-Tech. Seadmed võtsid seejärel ühendust infrastruktuuriga, mis oli seotud Iisraeli nuhkvara arendaja Candiruga.
Candiru on üks tuntud nn palgasõdurite nuhkvara pakkujaid. Ettevõte oli juba 2021. aastal USA valitsuse poolt sanktsioneeritud või musta nimekirja kantud.
Citizen Lab kirjeldab nüüdseks avaldatud uurimist kui esimest avalikku tehnilist kinnitust, et nullklõpsuga palgasõdurite nuhkvara levitati tõepoolest pärisseadmetele sihitud reklaami kaudu.
Rohkem kui 120 000 veebilehte ja kümneid tuhandeid rakendusi
Aluseks oleva reklaamiinfrastruktuuri ulatus on tohutu. WIREDi andmetel ilmusid Discover-Techiga seotud reklaamid enam kui 120 000 veebilehel ja enam kui 70 000 mobiilirakenduses ajavahemikus märtsist juunini 2026. Reuters viitab umbes 75 000 rakendusele.
Citizen Lab hindab ka, et miljoneid seadmeid suunati serveritesse, mis olid ühendatud Candiruga, kus neid sai analüüsida või profiilida. See ei tähenda, et miljonid seadmed on tõestatud nuhkvaraga nakatuna. Siiski on tõestatud, et Discover-Tech suutis globaalse reklaamisüsteemi kaudu jõuda suure hulga seadmeteni ja neid tehniliselt eristada.
See loob täiesti uue rünnaku stsenaariumi: ründaja ei pea enam oma sihtmärki pilkupüüdva sõnumiga meelitama. Ta võib proovida iga päev jõuda inimeseni seal, kus ta juba on – tavapärastel veebilehtedel ja tavalistes rakendustes.
NATO, ÜRO ja valitsuse võrgustikud ilmusid reklaamiliikluses
Eriti plahvatusohtlik on see, kus Discover Techi reklaamid ilmusid, vastavalt teadlastele.
Citizen Lab dokumenteeris reklaame võrgustikes, mis on seotud NATO, ÜRO, Euroopa seadusandlike organite, kriitilise infrastruktuuri ning valitsus- ja sõjaväeagentuuridega mitmes riigis. See ei tähenda, et need rajatised oleksid automaatselt häkitud.
Siiski näitab see, et infrastruktuur suutis jõuda ja tuvastada seadmeid isegi võrkudes, mis on turvapoliitika seisukohalt väga tundlikud.
Just see ongi juhtumi tegelik ulatus: sama reklaamitehnika, mida tavaliselt kasutatakse inimeste võimalikult täpselt sihtimiseks kommertsreklaamidega, saab kasutada ka üksikute seadmete ja kasutajate tuvastamiseks ning nende valimiseks jälgimisoperatsioonideks.
Reklaamitööstus kui globaalne positsioneerimisinfrastruktuur
Seetõttu suunab Citizen Lab oma kriitika mitte ainult Discover-Techi ja Candiru vastu. Fookus on kogu nn reaalajas pakkumissüsteemil.
Iga kord, kui reklaamiruum laaditakse, edastatakse kasutajate ja seadmete andmed mitmetele turuosalistele. Süsteem loodi selleks, et pakkuda reklaamijatele võimalikult täpseid sihtgruppe.
Kuid täpselt sama tehnilist loogikat saab kasutada ka jälgimiseks.
Asukoht, seadme tüüp, IP-aadress, reklaami ID, kasutuskäitumine ja muud omadused aitavad filtreerida konkreetset inimest miljonite kasutajate hulgast.
Citizen Labi uurija Bill Marczak kirjeldab probleemi järgmiselt: Võime edastada ükskõik millist sisu üksikutele kasutajatele on kaasaegse veebireklaami põhitunnus – ja seetõttu eriti sobiv nuhkvaratööstusele.
Null-klõps: Ohver ei pea enam midagi valesti tegema
Nullklõpsuga rünnakud on eriti ohtlikud, sest ohver ei pea ise viga tegema.
Klassikalistes andmepüügirünnakutes peab ohver tavaliselt klõpsama lingil, avama manuse või sisestama ligipääsuandmed. Nullklõpsuga rünnakute puhul on see samm välja jäetud.
Pahavara kasutab tehnilist haavatavust ära ja võib ise paigaldada seda nii, et kasutaja seda märkaks.
Adfektsiooni puhul on veel üks tegur: teadlaste sõnul ei pea isegi reklaam tingimata nähtav olema. Otsustav tegur on see, et see tehniliselt tarnitakse või töödeldakse seadmes.
Seetõttu nimetab WIRED seda stsenaariumi “Õudusunenäo stsenaariumiks”.
Google ja teised platvormid tõmbavad lahti
Pärast uuringu avaldamist reageerisid mitmed suured ettevõtted.
Google teatas, et on keelanud Discover-Techi oma reklaamiplatvormidel pärast ühist uurimist Citizen Labi ja turvafirma Confiantiga.
Beeswax, Comcasti reklaamitehnoloogia ettevõte, eemaldas samuti Discover-Techi oma platvormilt. IAB Europe peatas ettevõtte oma ülemaailmsest teenusepakkujate nimekirjast.
Mitmed ettevõtted eitasid samal ajal, et nad teadsid või osalesid võimalikest nuhkvarategevustest. Teised teenusepakkujad ütlesid, et on alustanud sisemisi uurimisi või blokeerinud Discover-Techi ligipääsu ettevaatusabinõuna.
Sadu miljoneid nakatunud? Selle kohta puuduvad tõendid
Sotsiaalvõrgustikud väidavad nüüd, et sadadel miljonitel inimestel võib juba olla Iisraeli nuhkvara oma nutitelefonides.
Uuring ei anna selle kohta mingeid tõendeid.
Citizen Lab on seni kinnitanud vähemalt 45 tegelikku nakatumist Al Jazeeras. Samal ajal räägivad teadlased miljonitest seadmetest, mis puutusid kokku Discover Techi või Candiru infrastruktuuriga või mida seal võiks profileerida. See on oluline erinevus.
Miljonid seadmed, mida saab ligi või analüüsida, ei ole automaatselt miljonid nakatunud seadmed.
Kuid isegi ilma selle liialduseta jääb paljastus tõsiseks.
Tegelik probleem on suurem kui üks nuhkvarafirma
Juhtum näitab, et kommertslik veebireklaam on nüüd palju enamat kui lihtsalt toodete müügisüsteem. See on ka ülemaailmne infrastruktuur seadmete ja kasutajate tuvastamiseks, klassifitseerimiseks ja jälgimiseks.
Nii kaua kui reklaamivõrgustikud levitavad reaalajas suuri koguseid isiklikke ja tehnilisi andmeid, ei saa seda teavet kasutada ainult tavalised reklaamijad.
Neid saab kuritarvitada ka jälgimiseks, luureoperatsioonideks ja sihitud küberrünnakuteks.
Citizen Lab toob ohu kesksele punktile: seni, kuni see arhitektuur püsib ja reklaamifirmad ei kontrolli oma kliente palju rangemalt, on selline kuritarvitus jätkuvalt võimalik.
AdFectioni avalikustamine näitab seega, kui kaugele digitaalne jälgimine võib nüüd jõuda igapäevasesse internetikasutusse.
See ei ole enam lihtsalt kahtlane sõnum või pahatahtlik side, mis võib muutuda ohuks.
Halvimal juhul võib piisata lihtsalt tavalise veebisaidi või rakenduse laadimisest.
Allikad:
Citizen Lab – AdFectioni paljastamine: Kuidas Discover-Tech muutis sihitud reklaamid nullklõpsuga palgasõdurite nuhkvara
torujuhtmeks WIRED – “Õudusunenägude stsenaarium”: Nullklõpsuga nuhkvara nakatab telefone sihitud reklaamide kaudu Reuters
– Iisraeli firma kasutas veebireklaame ulatusliku spioonioperatsiooni juhtimiseks, ütlevad teadlased
