Citizen Lab, reklamların tıklanmadan casus yazılım bulaştırdığını ilk kez belgeledi

Toronto Üniversitesi bünyesindeki araştırma grubu Citizen Lab, 15 Ekim’de yayımladığı raporda casus yazılımın reklamlar üzerinden, kullanıcı hiçbir şeye tıklamadan cihazlara ulaştırıldığını belgeledi. Raporun yazarlarına göre bu yöntemin paralı casus yazılımlarda kullanıldığı ilk kez teknik olarak doğrulanıyor. Araştırmacılar yönteme “AdFection” adını verdi.

Rapora göre İsrailli reklam teknolojisi şirketi Discover-Tech, içine bir betik yerleştirilmiş reklamlar satın aldı. Reklam bir sayfada ya da uygulamada gösterildiğinde şirketin sunucusuna haber veriyor, sunucu da IP adresine ve reklam kimliklerine bakarak cihazın hedef olup olmadığına karar veriyordu. Hedef olmayan cihazlar boş yanıt alırken, hedef olanlara ek kod gönderiliyordu. Kullanıcının reklama tıklaması gerekmiyordu, reklamın ekranda görünmesi yetiyordu.

Citizen Lab, Al Jazeera’da 2024 ve 2025 yıllarında en az 45 cihazın bu yolla hedef alındığını ve saldırıların yüksek olasılıkla İsrailli casus yazılım şirketi Candiru’nun yazılımıyla yapıldığını tespit etti. Saldırı zinciri bir Discover-Tech reklamının gösterilmesiyle başlıyor, Candiru’nun doğrulama sunucusuyla devam ediyor ve Candiru’nun komuta sunucusuna bağlantıyla bitiyordu. Al Jazeera’nın kendi teknik ekibi 2024’te gazetecilerin cihazlarında olağandışı hareketler fark etmiş ve inceleme bunun üzerine başlamıştı. ABD 2021’de Candiru’yu kara listeye almıştı. Şirketin artık “Integrity Labs” adını kullandığı belirtiliyor.

Araştırmacılar, mart-haziran 2026 arasındaki yaklaşık dört milyar reklam ihalesi kaydını inceledi. Discover-Tech reklamları bu dönemde yaklaşık 75 bin uygulamada ve 120 bin web sitesinde gösterilmiş, 161 ülkede görüntülenmiş. Reklamların bakanlıklar, NATO, BM ve AB kurumları gibi hassas ağlarda da göründüğü tespit edildi. Citizen Lab, bu verinin o ağlardaki cihazların hedef alındığı ya da enfekte olduğu anlamına gelmediğinin altını çiziyor.

Google ve IAB Europe, Discover-Tech’i Ekim başında kayıtlarından çıkardı, Google şirketin reklam borsalarına erişimini de kesti. Başka bazı reklam platformları da şirketin erişimini durdurdu. Al Jazeera, çalışanlarını hedef alan saldırıları kınadı ve sorumluların hesap vermesini istedi. Citizen Lab, düzenleyici kurumlara Discover-Tech ve Candiru hakkında soruşturma açma çağrısı yapıyor.

Bu bulgu, çevrim içi reklamların yalnızca bir gizlilik meselesi olmadığını gösteriyor. Reklam engelleyiciler ve tarayıcıların izleme koruması bu tür bir saldırıya karşı tek başına garanti sunmasa da riskli kişiler için saldırı yüzeyini azaltabiliyor. Gazeteciler ve hedef alınma riski taşıyan kişiler için cihazları güncel tutmak her zamankinden önemli.