不必點擊也會中招公民實驗室揭間諜軟體藏身線上廣告

網路廣告不只有圖片，也能夾帶程式碼。多倫多大學的 Citizen Lab 研究人員如今證實，這些程式碼可在目標人物完全沒有點擊的情況下，將間諜軟體植入其裝置。該實驗室將這項技術稱為 AdFection。資深研究員比爾·馬爾恰克（Bill Marczak）告訴 Wired，遭到這種方式入侵的人「不會察覺任何異狀」，「事實上，他們甚至可能根本看不到任何廣告。」

這對手機裡裝滿免費應用程式的人來說尤其重要。過去的零點擊攻擊大多利用通訊應用程式的漏洞，業者還能透過修補程式補上缺口。這次的攻擊卻搭上決定你會看到哪則廣告的日常機制：每當應用程式或網頁載入，廣告競價就會在不到一秒內完成，而過程中早已傳送你裝置的廣告識別碼、IP 位址和手機詳細資料。

這起事件的核心是 Discover-Tech，一家在以色列註冊、對外自稱廣告公司的企業。報告指出，該公司的平台 Controlium 可讓客戶透過廣告識別碼、瀏覽器 Cookie 或 IP 位址鎖定單一目標，並在廣告顯示的瞬間將程式碼推送至該裝置；其他人看到的則是一般廣告。Citizen Lab 高度確信，新聞媒體 Al Jazeera 遭到的一系列攻擊與間諜軟體製造商 Candiru 有關；該公司如今改名為 Integrity Labs。這家媒體內至少有 45 台裝置遭到鎖定，其中一部受感染的 Windows 電腦所留下的檔案，指向 Candiru 的伺服器。

研究人員是如何查明內情，過程幾乎有些荒謬。Controlium 的登入頁面竟附上自家控制面板的完整原始碼，研究團隊於是儲存該頁面、切斷頁面與外部伺服器的連結，再逐一開啟所有畫面。Discover-Tech 的一台伺服器也將近 40 億筆廣告競價紀錄暴露在外。資料顯示，帶有攻擊者指令碼標籤的廣告曾出現在 75,373 款 Android 和 iOS 應用程式，以及 120,768 個網站上。其中不乏熟悉的名字：通訊軟體 Viber 在 Android 上顯示了超過 70 萬則這類廣告；Yahoo Mail、Opera Mini 和 Duolingo 也都出現過。

這些數字需要謹慎解讀。Citizen Lab 強調，在螢幕上看到 Discover-Tech 的廣告，不代表手機就遭到入侵。多數情況下，該公司的伺服器根本沒有回傳任何程式碼；而競價資料只涵蓋該公司其中一個廣告平台、為期四個月的紀錄。Citizen Lab 尚未說明哪些政府為針對 Al Jazeera 的行動付費；報告發現廣告觸及北約、聯合國及數個歐洲機構的網路，代表的是觸及範圍，並非確認感染。這些廣告在挪威觸及國會和警方的網路，在瑞典則觸及武裝部隊與國家電網營運商的網路。一般人能採取的防護措施並不多。馬爾恰克建議，任何可能「因為自己的身分或所做的事」而成為目標的人，都應關閉廣告追蹤，或乾脆封鎖所有廣告。

廣告業界已開始採取行動。Google 表示，在與 Citizen Lab 及資安公司 Confiant 共同調查後，已將 Discover-Tech 封鎖於旗下廣告平台之外，並為與該集團有關的網站增設 Safe Browsing 警告。IAB Europe 已將該公司從核准廣告供應商名單中除名，Comcast 旗下的 Beeswax 也已將其從平台移除。Discover-Tech 未回覆 Wired 或 TechCrunch 的詢問。

Citizen Lab 於 2026 年 10 月 15 日發布這份報告，內容涵蓋 2024 年和 2025 年針對 Al Jazeera 的攻擊，以及 2026 年 3 月至 6 月的競價資料。實驗室還將發布另一份報告，介紹一個獨立團體；實驗室稱其為 DARK CARTOGRAPHER，並指出該團體利用相同基礎設施，藉由 30 多個國家的行動電信業者漏洞，將手機的廣告識別碼與電話號碼配對。

馬爾恰克形容 Discover-Tech「肯定只是冰山一角」。研究團隊不必費心搜尋，就在自己的螢幕上看到這些廣告：他們瀏覽 CBC 和 Yahoo 網站、在 Android 裝置上玩數獨遊戲時，都曾遇上這些廣告。

標籤: 資安, AdFection, Candiru, Citizen Lab, Discover-Tech, 網路廣告