Η διαφήμιση που διάλεγε ποιον θα κατασκοπεύσει

Η έκθεση «AdFection» του Citizen Lab, που δημοσιεύθηκε σήμερα, συνδέει διαφημίσεις της Discover-Tech με επιθέσεις της Candiru, εταιρείας εμπορικού λογισμικού κατασκοπείας (spyware), σε τουλάχιστον 45 συσκευές του Al Jazeera το 2024 και το 2025 (Citizen Lab). Οι ερευνητές την παρουσιάζουν ως την πρώτη δημόσια τεχνική επιβεβαίωση ότι μια στοχευμένη διαφήμιση μπορεί να ανοίξει τον δρόμο σε spyware χωρίς ο στόχος να πατήσει τίποτα (Reuters). Ο μηχανισμός που αποφασίζει ποια διαφήμιση θα δείτε δίπλα σε μια είδηση αποδείχθηκε ικανός να αποφασίσει και ποιον θα χτυπήσει κάποιος (Citizen Lab).

Μια δημοπρασία σε κάθε σελίδα

Κάθε φορά που ανοίγετε ένα άρθρο ή μια δωρεάν εφαρμογή, ο άδειος διαφημιστικός χώρος βγαίνει σε αυτόματη δημοπρασία. Φανταστείτε μια ψηφιακή πινακίδα που, μόλις περάσει κάποιος από μπροστά της, στέλνει στους υποψήφιους αγοραστές ένα σημείωμα. Σε αυτό γράφει από ποιο δίκτυο συνδέεται ο περαστικός (η διεύθυνση IP) και ποιο είναι το διαφημιστικό αναγνωριστικό της συσκευής του, δηλαδή ένας κωδικός με τον οποίο οι διαφημιστές αναγνωρίζουν το ίδιο κινητό από εφαρμογή σε εφαρμογή. Συνήθως ο αγοραστής ψάχνει ένα κοινό, όχι έναν άνθρωπο. Η πλατφόρμα Controlium της Discover-Tech όμως, κατά τους ερευνητές, επέτρεπε να αντιστοιχίζονται αυτά τα στοιχεία με συγκεκριμένες, προεπιλεγμένες συσκευές (Citizen Lab).

Από εκεί και πέρα η διαφήμιση έκανε δεύτερη δουλειά. Σύμφωνα με την Confiant, που ανέλυσε παράλληλα τη διαφημιστική υποδομή, μόλις φορτωνόταν, ο κώδικάς της μπορούσε να ελέγξει τη συσκευή και να τη στείλει σε διακομιστή της Candiru, χωρίς κανένα πάτημα (Confiant). Η διαφήμιση λοιπόν δεν είναι το ίδιο το όπλο· είναι ο ανιχνευτής που βρίσκει τον στόχο και ο κούριερ που τον φέρνει στην πόρτα. Για να ακολουθήσει παραβίαση χρειάζεται και λειτουργική αλυσίδα εκμετάλλευσης κενών ασφαλείας, την οποία η δημόσια έκθεση δεν περιγράφει, όπως δεν κατονομάζει και ενημέρωση που την κλείνει.

Τι αποδείχθηκε στο Al Jazeera

Τα αρχεία δικτυακής κίνησης που παρέδωσε το Al Jazeera δείχνουν τη διαδρομή βήμα βήμα: από τη διαφημιστική υποδομή της Discover-Tech σε διακομιστή ελέγχου της Candiru και από εκεί στον διακομιστή που χειριζόταν το spyware. Από μία παραβιασμένη συσκευή Windows οι ερευνητές απομόνωσαν αρχείο κατασκοπευτικού λογισμικού που συνέδεσαν με την Candiru, άρα η μόλυνση δεν είναι υπόθεση (Citizen Lab). Πόσες από τις 45 συσκευές μολύνθηκαν τελικά, η έκθεση δεν το λέει.

Για ένα μέσο ενημέρωσης, το διακύβευμα είναι οι πηγές του. Ένα μολυσμένο μηχάνημα μπορεί να εκθέσει επικοινωνίες και ταυτότητες ανθρώπων που εμπιστεύτηκαν έναν δημοσιογράφο, ακόμη κι αν εκείνος δεν άγγιξε ποτέ τίποτα ύποπτο.

Τα μεγάλα νούμερα του δικτύου μετρούν κάτι άλλο. Από τον Μάρτιο ως τον Ιούνιο του 2026 το Citizen Lab εξέτασε σχεδόν 4 δισεκατομμύρια διαφημιστικές προσφορές της Discover-Tech, από τις οποίες περίπου 440 εκατομμύρια φαίνεται να κέρδισαν θέση προβολής, σε σχεδόν 200.000 ιστοτόπους και εφαρμογές (Citizen Lab). Είναι σαν να μετράς πόσες φορές πέρασε ένα φορτηγάκι από τους δρόμους μιας πόλης, όχι πόσες πόρτες παραβίασε· ο ίδιος άνθρωπος μπορεί να έχει μετρηθεί πολλές φορές. Η Confiant, από τη μεριά της, γράφει ότι οι διαφημίσεις που συνδέονται με την Candiru ήταν μικρό κλάσμα του συνόλου (Confiant).

Οι κακόβουλες διαφημίσεις δεν είναι καινούργιες. Τον Δεκέμβριο του 2025, διαρροές για την Intellexa, την εταιρεία πίσω από το Predator, περιέγραφαν ένα σύστημα με το όνομα «Aladdin» και ανάλογη δυνατότητα (Amnesty Security Lab). Το καινούργιο είναι μια τεκμηριωμένη πραγματική περίπτωση, από την προβολή ως το μολυσμένο μηχάνημα. Ταιριάζει σε μια αγορά που ψάχνει διαρκώς νέες πόρτες: τον Ιούνιο το WhatsApp κατηγόρησε την NSO ότι συνέχισε να το στοχοποιεί παρά την αμερικανική δικαστική απαγόρευση (To Brief), αν και τίποτα δεν συνδέει επιχειρησιακά εκείνη την υπόθεση με την AdFection.

Ποιος έκλεισε ποια πόρτα

Η Google απέκλεισε την Discover-Tech από τα διαφημιστικά της ανταλλακτήρια στις αρχές Οκτωβρίου, η Beeswax της Comcast την αφαίρεσε, η Liftoff πάγωσε την πρόσβασή της και η Eskimi λέει ότι η τελευταία σχετική καμπάνια σταμάτησε στις 6 Αυγούστου (Reuters). Η IAB Europe, το όργανο του ευρωπαϊκού διαφημιστικού κλάδου, την αφαίρεσε στις 8 Οκτωβρίου από το μητρώο των διαφημιστικών εταιρειών που δηλώνουν συμμόρφωση με το εθελοντικό πλαίσιό της, μετά από έλεγχο που βρήκε παραβιάσεις πολιτικών (IAB Europe). Κάθε αποκλεισμός όμως κόβει μόνο τη διαδρομή της συγκεκριμένης πλατφόρμας, και η αναστολή της IAB δεν είναι κρατική απαγόρευση. Γι' αυτό οι ερευνητές συστήνουν στους οργανισμούς υψηλού κινδύνου να μπλοκάρουν διαφημίσεις και παρακολούθηση στις συσκευές εργασίας· η αλλαγή του διαφημιστικού αναγνωριστικού κλείνει μόνο μία διαδρομή, αφού η IP μένει.

Ποιος χειριζόταν τις επιθέσεις στο Al Jazeera, και αν πίσω του βρισκόταν κάποιο κράτος, δεν έχει δημοσιοποιηθεί. Η AdFection δεν αποδεικνύει ότι εκατομμύρια κινητά χακαρίστηκαν. Αποδεικνύει κάτι πιο δομικό: η ίδια μηχανή που μαθαίνει ποιος είστε για να σας πουλήσει παπούτσια μπορεί να το πουλήσει και σε όποιον θέλει να διαβάσει τις πηγές ενός δημοσιογράφου.