Citizen Lab: מודעות ממוקדות באתרים ובאפליקציות שימשו להדבקה ברוגלה בלי הקלקה

רוב ההגנות מפני רוגלות נשענות על הנחה פשוטה: כדי להדביק מכשיר, התוקף צריך שתלחצו על קישור, תפתחו קובץ או שינצל חולשה באפליקציית הודעות. מחקר שפרסמה ב-15 באוקטובר מעבדת Citizen Lab באוניברסיטת טורונטו, יחד עם חברת אבטחת הפרסום Confiant, מערער את ההנחה הזו. הוא מתאר מקרה מתועד ראשון שבו עצם הצגה של מודעה ממוקדת הספיקה כדי לשלוח רוגלה למכשיר, בלי שום הקלקה. החוקרים קראו לשיטה AdFection.

בלב הפרשה עומדת Discover-Tech, חברה ישראלית שנרשמה במרץ 2020 ומציגה את עצמה כחברת טכנולוגיית פרסום. לפי Citizen Lab, בפועל היא משמשת גשר בין תעשיית הפרסום לבין ספקיות רוגלות להשכרה, ובראשן Candiru, חברה ישראלית שמוכרת כלי ריגול לממשלות. Discover-Tech, Candiru ושאר החברות שנזכרו בדוח לא הגיבו לפניות החוקרים.

מכרז על שטח פרסום שהופך לנקודת הדבקה

כדי להבין את השיטה צריך להכיר את המנגנון שמאחורי רוב המודעות ברשת: מכרזים בזמן אמת (Real-Time Bidding). בכל פעם שעמוד או אפליקציה נטענים, מתקיים בשבריר שנייה מכרז על שטח הפרסום, והמציעים מקבלים פרטים על המכשיר, כמו כתובת IP ומזהה פרסום, כדי להחליט כמה לשלם. מי שזוכה מציג מודעה, ולא פעם המודעה כוללת גם קוד שרץ על המכשיר.

Discover-Tech קנתה מודעות דרך פלטפורמת רכש משלה בשם MyDSP, שמחוברת לבורסות פרסום גדולות, בהן של Google. לתוך המודעות הוטמן קוד שפנה לשרת של החברה ושלח אליו את מזהי הפרסום של המכשיר. השרת בדק אם המכשיר ברשימת המטרות: מכשיר רגיל קיבל תשובה ריקה, ומכשיר מסומן קיבל קוד נוסף. ברשת של Al Jazeera תועד הרצף המלא: הצגת מודעה של Discover-Tech, פנייה לשרת אימות של Candiru ומשם לשרת השליטה של הרוגלה. ממחשב Windows שנפרץ שחזרו החוקרים קובץ שיוחס ל-Candiru ברמת ודאות גבוהה.

פלטפורמה נוספת של החברה, Controlium, אפשרה ללקוחות לבחור יעדים לפי מזהה פרסום של טלפון, מזהה דפדפן או כתובת IP, ולהזרים אליהם מודעות ״מבוקרות״. לפי CyberScoop, הרוגלה של Candiru מסוגלת להשתלט על מכשיר מרחוק, לגנוב ממנו מידע ולהפעיל את המיקרופון והמצלמה.

המספרים שמאחורי המודעות

לפי Citizen Lab, לפחות 45 מכשירים של עובדי רשת Al Jazeera סומנו כמטרות ב-2024 וב-2025. החוקרים מדגישים שזה מספר מטרות ולא בהכרח מספר הדבקות מאומתות. לפי Engadget, הטכנולוגיה שימשה לכוון גם אל עובדים בארגונים כמו NATO, הנציבות האירופית, NVIDIA ו-Arm.

היקף הפעילות הפרסומית גדול בהרבה. בין מרץ ליוני 2026 הגישה MyDSP הצעות על כ-3.77 מיליארד הצגות מודעה וזכתה בכ-442 מיליון מהן. מודעות שנשאו את הקוד של התוקפים הוצגו ב-120,768 אתרים וב-75,373 אפליקציות לאנדרואיד ול-iOS, ובהם אתרים כמו BBC ו-New York Times ואפליקציות כמו Duolingo. לפי CyberScoop, המודעות הגיעו גם לרשתות של משרד ההגנה האמריקאי, NATO והסוכנות הבינלאומית לאנרגיה אטומית. אין בכך טענה שהאתרים האלה נפרצו: הם מכרו שטח פרסום דרך המערכת האוטומטית, כמו כל אתר אחר.

למה זה נוגע גם לעסקים בישראל

קל לחשוב שמדובר בבעיה של עיתונאים ודיפלומטים בלבד, ובמידה רבה זה נכון: רוגלות כאלה יקרות ומופנות ליעדים נבחרים. אבל הממצא המרכזי רחב יותר. המחקר מראה שאותה מערכת שמאפשרת לכם לטרגט לקוחות לפי מכשיר ומיקום יכולה לשמש גם לאיתור אדם מסוים ולשליחת קוד זדוני רק אליו, דרך אתרים ואפליקציות לגיטימיים לגמרי. לדברי החוקר וולפי כריסטל מ-Citizen Lab, ״הפרסום הדיגיטלי שבור״.

יש כאן גם זווית מקומית לא נוחה. מלבד Discover-Tech ו-Candiru, הדוח קושר את הפלטפורמה לשתי חברות נוספות מתחום המעקב, Bindecy ו-Intelos, וקורא לרגולטורים לחקור את החברות ולהטיל סנקציות. Google חסמה את Discover-Tech מפלטפורמות הפרסום שלה בטענה שהפרה את המדיניות באופן שיטתי, למרות שהחברה הופיעה קודם ברשימות הספקים ה״מאושרים״ שלה. IAB Europe, Beeswax ו-Eskimi הסירו או חסמו אותה, ו-Vungle השעתה את הגישה שלה עד לסיום בדיקה.

מה הלאה

Citizen Lab מבטיחה דוח נוסף על גורם שהיא מכנה DARK CARTOGRAPHER, שלפי החוקרים משתמש בתשתית של Discover-Tech כדי לקשר בין מזהי פרסום למספרי טלפון ולחשוף את זהותם של גולשים בהיקף רחב. החוקר ביל מרצ׳ק העריך שמה שנחשף עד כה הוא ככל הנראה רק קצה הקרחון. המסקנה המעשית לא תלויה בהמשך: כל עוד מזהי פרסום ונתוני מיקום עוברים בחופשיות במכרזים, כדאי לצמצם את מה שהמכשירים שלכם חושפים.