AdFection: шпигунське ПЗ проникало через онлайн-рекламу
Шпигунське програмне забезпечення можуть доставляти через звичайну онлайн-рекламу — навіть якщо людина не натискає на оголошення. Такого висновку дійшли дослідники Citizen Lab при Університеті Торонто у звіті від 15 жовтня 2026 року. Вони описали кампанію AdFection, пов’язану з рекламною інфраструктурою Discover-Tech і комерційним шпигунським ПЗ Candiru. Це серйозна знахідка, але вона не означає, що кожен, хто побачив підозрілий банер, автоматично заразив телефон.
Чому реклама взагалі може бути небезпечною
Онлайн-оголошення часто завантажується не безпосередньо із сайту, який відкрив користувач. За частки секунди рекламні майданчики проводять аукціон, визначають покупця показу й завантажують рекламний вміст. У цьому ланцюжку можуть працювати сторонні скрипти, а рекламодавці отримують технічні відомості про пристрій і показ.
За висновками Citizen Lab, компанія Discover-Tech використовувала таку систему для надзвичайно точного відбору цілей. Більшість людей бачили звичайну рекламу, а сервер повертав порожню відповідь на запит додаткового коду. Якщо ж ідентифікатор пристрою або інші параметри збігалися з вибраною ціллю, рекламний механізм міг спрямувати браузер чи застосунок на сервери, пов’язані зі шпигунською інфраструктурою.
Такий спосіб називають zero-click: для запуску атаки не потрібно відкривати вкладення, натискати посилання чи підтверджувати встановлення програми. Водночас сам показ реклами не є доказом успішного зараження. Для компрометації пристрою потрібен подальший ланцюжок експлуатації вразливостей, а його конкретні компоненти не для всіх платформ описані публічно.
Що саме вдалося довести дослідникам
Найважливіша частина розслідування — не припущення про можливість такого методу, а технічні сліди реальних атак. У 2024–2025 роках щонайменше 45 пристроїв міжнародної медіамережі Al Jazeera стали цілями кампанії. Аналіз мережевих журналів показав послідовність звернень до рекламної інфраструктури Discover-Tech, перевірочних серверів Candiru та серверів керування шкідливим ПЗ. На одному зі скомпрометованих комп’ютерів дослідники отримали файл DLL для Windows і пов’язали його з Candiru з високою впевненістю.
Це важливе розрізнення: 45 — кількість пристроїв, щодо яких зафіксовано цілеспрямовані атаки, а не підтверджена кількість усіх заражених у світі. Не слід також переносити результат аналізу Windows-файлу на кожен iPhone чи Android-смартфон, де з’являлися оголошення цієї рекламної мережі.
Окремо Citizen Lab проаналізувала близько чотирьох мільярдів записів рекламних ставок за березень–червень 2026 року. Оголошення Discover-Tech з’являлися на понад 120 тисячах вебсайтів і в понад 75 тисячах застосунків для Android та iOS. Це показник масштабу рекламного охоплення, не статистика заражень. Велика частина показів могла бути звичайним збором ідентифікаторів або перевіркою потенційних цілей.
Хто стояв за кампанією і що змінилося після розслідування
Citizen Lab пов’язує доставлення шпигунського ПЗ з ізраїльською рекламною компанією Discover-Tech та розробником комерційних засобів стеження Candiru, який також використовує назву Integrity Labs. Дослідники описали платформу Controlium, що дозволяла відбирати конкретні пристрої за рекламними ідентифікаторами, cookie або IP-адресами. Це висновки дослідницької групи, а не судове рішення про відповідальність названих компаній.
Після розкриття схеми низка учасників рекламного ринку вжила заходів: Google припинив доступ Discover-Tech до своїх рекламних бірж, IAB Europe вилучила компанію зі списків, а інші рекламні посередники заблокували або призупинили її роботу. Про ці дії повідомили і Citizen Lab, і незалежні видання WIRED, Ars Technica та BleepingComputer.
Це зменшує доступність описаного каналу поширення, але не доводить, що аналогічні атаки неможливі через інші рекламні системи. Сама проблема пов’язана з великою кількістю посередників, складністю перевірки стороннього коду та можливістю націлювати рекламу на конкретну людину.
Що можуть зробити звичайні користувачі
Повністю захиститися від цілеспрямованого шпигунського ПЗ лише одним перемикачем неможливо. Проте дослідники радять скорочувати кількість небажаних рекламних запитів і даних, за якими можна впізнати пристрій. Практичний мінімум — своєчасно встановлювати оновлення операційної системи та браузера, користуватися перевіреним блокувальником реклами там, де він підтримується, а також переглянути налаштування персоналізованої реклами й рекламного ідентифікатора.
На Android і iPhone назви відповідних пунктів меню відрізняються залежно від версії системи. Скидання чи обмеження рекламного ідентифікатора ускладнює відстеження, але не приховує IP-адресу й не усуває всі інші способи розпізнавання пристрою. Блокувальник реклами теж не є універсальним антивірусом: частина застосунків показує оголошення поза звичайним браузером, а складні атаки можуть використовувати інші канали.
Журналістам, правозахисникам, працівникам державних структур та іншим людям із підвищеним ризиком цілеспрямованого стеження потрібні додаткові заходи: контроль встановлених застосунків, захист облікових записів, мережеві фільтри в організації та консультації з фахівцями з цифрової безпеки. Якщо є конкретні ознаки компрометації, випадкове встановлення «очищувача» з реклами може лише погіршити ситуацію.
Чи є підтверджені зараження в Україні
У використаних першоджерелах немає підтвердженої кількості українських постраждалих від AdFection. Глобальне охоплення рекламної інфраструктури не дає підстав стверджувати, що певний український сайт, застосунок або користувач були заражені. Поки відсутні відповідні технічні дані, такі твердження були б припущенням.
Головний висновок: розслідування показало реальну слабкість рекламної екосистеми, а не масову інфекцію всіх смартфонів. Для більшості користувачів доречні звичайні правила цифрової гігієни; для людей, які можуть бути спеціальними цілями стеження, потрібен професійний захист. Не варто панікувати через кожен банер, але й вважати рекламу повністю безпечним вмістом уже не можна.
Джерела та атрибуція зображень
Факти: Citizen Lab, 15.10.2026; WIRED, 15.10.2026; Ars Technica, 15.10.2026; BleepingComputer.
Головне зображення: Electronic-security artwork, автор MarkJFernandes, Wikimedia Commons, CC0 1.0. Ілюстрація в тексті: Digitalsecurity.png, автор Chukydyk, Wikimedia Commons, CC BY-SA 4.0. Обидва файли — загальні ілюстрації, не кадри чи докази конкретних атак; використані без змін.
