广告平台被曝成政府间谍软件投递通道

多伦多大学数字权利研究机构公民实验室（Citizen Lab）10月15日发布报告，首次给出技术证据，证明有政府背景的间谍软件正借助全球在线广告投放网络，在受害者无需点击任何链接的情况下入侵设备。报告点名一家名为Discover-Tech的以色列公司：它对外以合法广告技术公司自居，实际上充当着“广告供应商与雇佣间谍软件生态之间的桥梁”。

研究人员指出，至少两家零点击间谍软件厂商Candiru与Bindecy利用Discover-Tech的广告平台实施了定向投递。这两家公司的产品都属于“零点击”类型——受害者的设备不必打开消息或点击链接，就会被植入。公民实验室确认，半岛电视台至少有45台Windows电脑在2024至2025年间因接触植入恶意代码的在线广告而被Candiru的间谍软件攻陷。

Discover-Tech把自家平台命名为Controlium。研究人员发现，该平台登录页泄露了部分源代码，使他们无需登录就复刻出后台控制面板；网站还有一个不需要密码即可访问的公开目录，可下载大量Controlium后台的用户登录记录，其中部分账号属于Candiru与Bindecy的员工。此外，网站上还遗留了数十亿条广告竞价记录，显示2026年3月至6月间，其广告最终投放到数以万计的手机应用与网站上。

这些竞价记录显示，广告曾出现在军方、政府机构、关键基础设施与国家网络部门所使用的设备上；不过目前尚不清楚这些曝光是否最终导致设备被入侵。与公民实验室合作调查的广告质量平台Confiant表示，他们发现疑似恶意广告也曾出现在国际原子能机构与国际刑事法院的网络设备上。

公民实验室高级研究员比尔·马尔扎克（Bill Marczak）表示：“业界长期传闻在线广告能被用来精准识别并自动入侵目标，现在我们第一次拿到了展示这一过程的技术证据。”他认为Discover-Tech“只是冰山一角”，并建议可能被针对的人群关闭设备上的广告追踪、甚至彻底屏蔽广告。截至目前，半岛电视台、Discover-Tech以及Candiru的运营方Integrity Labs均未回应置评请求。

编译自 TechCrunch，原标题：“Citizen Lab says governments are abusing online ads to hack people with ‘zero-click’ spyware”