Таргетированная реклама стала шпионским оружием
Обнаружена кампания AdFection, за которой предположительно стоит израильская Discover-Tech: вредоносная реклама заражала устройства спайварью Candiru без единого клика — достаточно было открыть сайт или приложение. Это первый публично задокументированный случай реальных атак, когда коммерческое шпионское ПО распространялось через таргет; в 2024–2025 годах так атаковали не менее 45 устройств сотрудников Al Jazeera.
Discover-Tech служила связующим звеном между рекламной индустрией и разработчиками спайвари — сотрудничество с Candiru (ныне Integrity Labs) подтверждено. Через платформу Controlium клиенты выбирали устройства по мобильному рекламному ID, cookie или IP и показывали «controlled ads» с вредоносным кодом, участвуя в обычных аукционах Real-Time Bidding. Скрипт в объявлении передавал серверу идентификатор устройства, и тот решал, доставлять ли дополнительный JavaScript: для неинтересных пользователей возвращался пустой ответ, для целей запускалась цепочка через проверочный сервер Candiru к управляющей инфраструктуре спайвари.
Масштаб оказался огромным: около 4 млрд записей об аукционах, 3,77 млрд ставок и 442 млн выигранных аукционов только за март–июнь 2026 года; объявления с подозрительными скриптами крутились в 75 373 приложениях для Android и iOS и на 120 768 сайтах. Реклама всплывала даже в сетях НАТО, ООН, европейских госорганов, военных ведомств и операторов критической инфраструктуры, хотя прямых доказательств заражения там не нашли. При этом компания годами числилась доверенным поставщиком Google и IAB Europe и работала через Google, «Яндекс», Beeswax и другие платформы.
После расследования Google и IAB Europe удалили Discover-Tech из реестров, Google закрыла доступ к рекламным биржам, Beeswax и Eskimi приняли аналогичные меры, Vungle приостановила сотрудничество на время проверки. AdFection показала системную проблему: инфраструктура точного таргетинга может с той же точностью доставлять шпионское ПО.