多伦多大学下属的 Citizen Lab 实验室披露了一场网络攻击活动。攻击者利用定向广告，在受害者无需点击或与广告互动的情况下，将先进间谍软件安装到 iOS 和 Android 设备上。该实验室将这场活动命名为“AdFection”，并表示 2024 年和 2025 年期间，半岛电视台媒体机构内有 45 台设备受到感染。
根据调查结果，这场活动的重要性在于，它可能是首个确认雇佣型间谍软件通过定向广告传播的案例。在这种场景下，只要加载网页或打开已安装的应用，利用链就可能启动；而在没有专业取证工具或软件的情况下，用户通常无法察觉设备已经感染。
广告系统是如何被利用的？
Citizen Lab 表示，相关广告由以色列公司 Discover-Tech 提供。该公司将自己描述为合法广告企业，但 Citizen Lab 称其是广告买家与出版商或应用开发者之间的中介，并在广告市场与雇佣型间谍软件生态之间发挥连接作用。
这类中介依靠广告竞价，使用移动设备标识符、位置、IP 地址以及其他数据，针对特定人群投放广告。该实验室获得了 Discover-Tech 处理的超过 40 亿条竞价记录。这些记录显示，2026 年 3 月至 6 月期间，该公司的广告曾出现在超过 7 万款移动应用和 12 万个网站上。
调查结果称，Discover-Tech 利用与《通用数据保护条例》相关的同意框架，针对欧盟境内用户投放广告；同时，它还通过 Google、Yandex 和 Beeswax 的网络展示广告。Google 和 IAB Europe 此前将该公司列为“获批准”或“已验证”供应商，之后才将其名称从记录中删除；Google 还终止了其访问广告交易平台的权限。Beeswax 同样将该公司从其平台移除，Liftoff 旗下的 Vungle 暂停了其访问权限以进行审查，而 Eskimi 则封锁了其账户和域名。
实际发生了什么变化？
据调查，广告只会向符合特定画像的目标展示，随后 JavaScript 代码或其他代码连接到 Candiru 的控制服务器；该服务器再返回利用程序，在用户无需互动的情况下植入恶意载荷。Citizen Lab 表示，Candiru 开发并分发了这款软件，目前以 Integrity Labs 的名义运营。
报告没有披露遭利用的漏洞，也没有披露这场活动最终安装的恶意软件。消息源推测，这些可能是“零日”漏洞，并在 Citizen Lab 发现该活动后得到修复，但这一点尚未通过公开的技术细节得到证实。Discover-Tech 和 Candiru 也没有回应置评请求。
为什么这条消息很重要？
Citizen Lab 表示，与 Discover-Tech 相关的广告曾出现在北约、联合国以及欧洲立法机构所属网络上，此外还出现在澳大利亚关键基础设施提供商，以及挪威和瑞典政府机构与武装部队的网络上。该实验室警告称，新闻编辑部、记者、编辑及其工作人员都可能成为直接目标。
这场活动暴露出的问题超出了受害者设备本身：原本用于确定广泛商业受众的广告定向工具，可能转变为传播高度专业化间谍软件的渠道。因此，Citizen Lab 呼吁广告主和政府官员采取主动措施，防止此类活动。
在降低风险方面，消息源建议使用广告拦截功能，重置 iOS 和 Android 上的广告标识符，在家庭或办公网络上安装拦截工具，并在系统和软件更新发布后立即安装。上述措施并不意味着能够在所有情况下确保阻止感染，尤其是因为漏洞细节和最终载荷尚未公开。