Μια στοχευμένη διαφήμιση αρκεί: το Citizen Lab του Πανεπιστημίου του Τορόντο δημοσιοποίησε την Πέμπτη έρευνα για μια νέα κατηγορία επίθεσης, την AdFection, κατά την οποία μισθοφορικό κατασκοπευτικό λογισμικό (spyware) εγκαθίσταται σε μια συσκευή χωρίς κανένα κλικ ή άλλη ενέργεια του χρήστη. Κατά τους ερευνητές, είναι η πρώτη δημόσια τεχνική τεκμηρίωση επίθεσης «μηδενικού κλικ» (zero-click) που φτάνει μέσω στοχευμένης διαφήμισης.

Κατά την έρευνα, κεντρικός παίκτης είναι η ισραηλινή Discover-Tech, που εμφανίζεται ως νόμιμος διαφημιστικός μεσίτης αλλά, σύμφωνα με τους ερευνητές, φέρεται να λειτουργεί ως «γέφυρα» προς εταιρείες spyware. Μέσω της πλατφόρμας της Controlium, «πελάτες» επέλεγαν στόχους με κριτήριο το διαφημιστικό αναγνωριστικό της συσκευής, cookie ή τη διεύθυνση IP, ενώ η εταιρεία αγόραζε, σε δημοπρασίες πραγματικού χρόνου (Google, Yandex, Beeswax), τον χώρο ακριβώς μπροστά στον στόχο. Μόλις η διαφήμιση εμφανιζόταν — ακόμη και στο παρασκήνιο —, ο κώδικάς της συνδεόταν με διακομιστή της εταιρείας, ο οποίος, κατά τους ερευνητές, με κριτήριο το αναγνωριστικό και την IP, έστελνε εκτελέσιμο κώδικα μόνο στους επιλεγμένους· στους υπόλοιπους επέστρεφε κενή απόκριση.

Σύμφωνα με το Citizen Lab, τουλάχιστον 45 συσκευές στο εσωτερικό του Al Jazeera βρέθηκαν στο στόχαστρο των επιθέσεων το 2024–2025, ενώ στην έκθεση επιβεβαιώνονται και μολύνσεις με spyware της Candiru (σήμερα Integrity Labs). Σύμφωνα με την έρευνα, από την ανάλυση περίπου τεσσάρων δισεκατομμυρίων εγγραφών δημοπρασιών προκύπτει ότι οι διαφημίσεις της προβλήθηκαν σε σχεδόν 200.000 ιστοσελίδες και εφαρμογές μέσα σε τέσσερις μήνες (Μάρτιος–Ιούνιος 2026) και καταγράφηκαν σε δίκτυα κρατικών φορέων και ενόπλων δυνάμεων σε τουλάχιστον 24 χώρες — ακόμη και σε δίκτυα του ΝΑΤΟ, του ΟΗΕ και θεσμών της ΕΕ. Η προβολή δεν αποδεικνύει μόλυνση από μόνη της, οδήγησε όμως, κατ' εκτίμησή τους, τουλάχιστον σε κατάρτιση προφίλ.

Στην Ευρώπη, κατά το Citizen Lab, η εταιρεία αξιοποίησε το πλαίσιο συγκατάθεσης του GDPR — το Transparency and Consent Framework του IAB Europe, όπου εμφανιζόταν ως προμηθευτής που επεξεργάζεται σήματα συγκατάθεσης — οπότε τα καθημερινά παράθυρα συγκατάθεσης μπορεί να εξουσιοδοτούσαν κι αυτήν. Στους καταλόγους πιστοποιημένων διαφημιστικών προμηθευτών της Google και του IAB Europe η εταιρεία βρισκόταν από το 2020.

Αφού το Citizen Lab ενημέρωσε πρώτα τις πλατφόρμες, πριν δημοσιοποιηθεί η έρευνα, η Google τερμάτισε την πρόσβαση της Discover-Tech στις πλατφόρμες δημοπρασιών της, το IAB Europe την αφαίρεσε από τα μητρώα του, η Beeswax (Comcast) απέσυρε τη συνεργασία, ενώ Vungle (Liftoff) και Eskimi περιόρισαν ή απέκλεισαν την πρόσβασή της. Για τον χρήστη απομένει η ενημέρωση λειτουργικού και εφαρμογών, όπως σημειώνει το Techmaniacs — που υπενθυμίζει ότι ισραηλινές εταιρείες βρίσκονταν πίσω από λογισμικά όπως το Predator, με χρήση και στη χώρα μας εναντίον δημοσιογράφων, πολιτικών και επιχειρηματιών. Το Citizen Lab καλεί τους ρυθμιστές να ερευνήσουν αν παραβιάστηκαν νόμοι· η έρευνα βρίσκεται σε εξέλιξη.