Co najmniej 45 komputerów katarskiej sieci Al Jazeera zostało w latach 2024–2025 zaatakowanych oprogramowaniem szpiegującym izraelskiej firmy Candiru, dostarczonym przez zwykłe reklamy internetowe – ofiara nie musiała niczego klikać. Tak wynika z opublikowanego 15 października raportu Citizen Lab z Uniwersytetu w Toronto, który jako pierwszy technicznie potwierdził taki atak w praktyce. Reklamy kupowała izraelska spółka Discover-Tech. Jej reklamy trafiały także do sieci NATO, ONZ, instytucji UE i Pentagonu.
Al Jazeera Media Network oświadczyła, że „potępia ataki z użyciem oprogramowania szpiegującego wymierzone w część jej pracowników”, i zapowiedziała dalszą ochronę ludzi i systemów. Atak na dziennikarzy nazwała „zamachem na wolność prasy” i wezwała do pociągnięcia sprawców do odpowiedzialności (Al Jazeera).
Raport zatytułowany „Exposing AdFection” opisuje nową technikę ataku, którą badacze nazwali AdFection (od ang. advertising – reklama i infection – infekcja). Autorzy – zespół pod kierunkiem Billa Marczaka, Johna Scotta-Railtona i Rona Deiberta – określają go jako „pierwszą w historii techniczną demonstrację infekowania urządzeń w rzeczywistych warunkach oprogramowaniem szpiegującym typu zero-click za pośrednictwem reklam targetowanych” (Citizen Lab, streszczenie raportu). Atak typu zero-click to włamanie, które nie wymaga żadnego działania ofiary: kliknięcia w link, otwarcia załącznika czy instalacji aplikacji.
Śledztwo zaczęło się w redakcji
Śledztwo rozpoczęło się w Doha. Dział technologiczny Al Jazeery zauważył w 2024 r. nietypowe wzorce ruchu sieciowego na urządzeniach części dziennikarzy. Zjawisko powtarzało się w 2025 r., dlatego nadawca zwrócił się do Citizen Lab o niezależną analizę (Al Jazeera). Według sieci wśród zaatakowanych byli dziennikarze zajmujący się „drażliwymi tematami”.
Kluczowe okazały się logi sieciowe (zapisy ruchu w sieci), które Al Jazeera przekazała badaczom. Na zainfekowanych urządzeniach powtarzała się ta sama sekwencja. Najpierw następowało połączenie z infrastrukturą Discover-Tech, czyli wyświetlenie reklamy. Potem urządzenie łączyło się z tzw. serwerem walidacyjnym Candiru, który wstępnie sprawdzał urządzenie przed dalszym profilowaniem i infekcją. Na końcu pojawiała się komunikacja z serwerem dowodzenia i kontroli (C&C – command and control), z którego operator steruje oprogramowaniem szpiegującym. Citizen Lab z wysokim stopniem pewności przypisał te ataki narzędziom Candiru dostarczanym przez reklamy Discover-Tech (Citizen Lab, raport). Z odtworzonego przez media przebiegu wynika, że od wyświetlenia reklamy do nawiązania połączenia z serwerem C&C mijało od jednej do trzech minut (Cyber Kendra).
Zespół bezpieczeństwa Al Jazeery wyodrębnił z jednego z komputerów plik biblioteki Windows (DLL) z zapisanymi na stałe adresami dwóch serwerów C&C. Badacze porównali go z oprogramowaniem Candiru, które sami przechwycili w 2021 r. Oba programy zapewniają sobie trwałość w systemie tą samą metodą: przejmują komponent COM, czyli mechanizm, przez który programy Windows ładują wspólne biblioteki. Oba zaciemniają ciągi znaków tym samym, nietypowym 48-bajtowym kluczem XOR i sprawdzają łączność z internetem przez tę samą sekwencję adresów – google.com i microsoft.com. Na tej podstawie Citizen Lab uznał z wysokim stopniem pewności, że próbka jest nowszą wersją narzędzia Candiru (Citizen Lab, raport). Według Reutersa chodziło o 45 komputerów z systemem Windows (Reuters).
Jak reklama staje się bronią
Aby zrozumieć mechanizm ataku, trzeba wiedzieć, jak działa współczesna reklama internetowa. Większość reklam wyświetlanych na stronach i w aplikacjach to efekt aukcji w czasie rzeczywistym (RTB – Real-Time Bidding). W ułamku sekundy urządzenie użytkownika wysyła zapytanie ofertowe, reklamodawcy składają oferty, a giełda reklamowa wyłania zwycięzcę. Takie aukcje odbywają się setki miliardów razy dziennie. Przy okazji system rozsyła do wielu podmiotów dane o użytkowniku i jego urządzeniu: identyfikator reklamowy telefonu, adres IP, lokalizację, informacje o aplikacji lub stronie. Reklama to nie tylko obrazek – może zawierać kod, który wykonuje się w przeglądarce lub aplikacji (Citizen Lab, raport).
Reklamodawcy kupują powierzchnię reklamową przez platformy zakupowe (DSP – Demand-Side Platform), a wydawcy sprzedają ją przez platformy sprzedażowe (SSP – Supply-Side Platform). Właśnie ten łańcuch pośredników wykorzystała Discover-Tech. Spółka działała przez własną platformę MyDSP, połączoną z systemami Google, Yandeksa, Vungle (Liftoff) i chińskiego Sunteng, a ponadto kupowała reklamy przez litewski Eskimi i należący do Comcastu Beeswax (Citizen Lab, raport).
Sama reklama wyglądała niewinnie. Często promowała zwykłe produkty – telefony czy słuchawki (Reuters). Zawierała jednak skrypt, który po wyświetleniu łączył się z serwerem Discover-Tech (w terminologii firmy: serwerem NOAS lub „getAd”) i przekazywał mu identyfikator reklamowy użytkownika oraz jego adres IP. Serwer decydował, czy urządzenie jest celem. Jeśli nie było, zwracał pustą odpowiedź o rozmiarze zero bajtów. Jeśli było, odsyłał kod JavaScript, który przeglądarka lub aplikacja automatycznie wykonywała i który ostatecznie prowadził do infekcji (Citizen Lab, streszczenie raportu). Złośliwy kod nie był więc zapisany w samej reklamie. Dzięki temu ani giełdy reklamowe, ani narzędzia weryfikujące reklamy nie miały czego wykryć. Eskimi przyznała w odpowiedzi dla badaczy, że tagi reklamowe „ładowały różny kod w zależności od tego, kto oglądał reklamę”, a kampanie często ograniczano do wąskich list adresów IP – i właśnie dlatego przechodziły weryfikację (Citizen Lab, raport).
Nowojorska firma Confiant, która zajmuje się bezpieczeństwem łańcucha dostaw reklam, przeanalizowała ten mechanizm niezależnie. Wychwyciła podejrzaną reklamę 12 kwietnia 2026 r. W jej wnętrzu znalazła niewidoczną ramkę o wymiarach 1×1 piksela, która ładowała około 90 KB zaciemnionego kodu JavaScript. Kod udawał typowy w branży skrypt weryfikacyjny. W rzeczywistości zestawiał szyfrowany kanał z serwerem operatora, zbierał szczegółowy „odcisk palca” urządzenia (fingerprinting) i mógł wykonać dowolny kod przesłany przez operatora. Jeden z wariantów zawierał komentarz „Copyright 2013 Google Inc.”, który według Confiant miał uśpić czujność analityków (Confiant).
Ekspert ds. cyberbezpieczeństwa Eddy Willems zwrócił uwagę Al Jazeerze na istotny niuans techniczny: wykonanie kodu w przeglądarce nie daje jeszcze pełnej kontroli nad komputerem. Aby wydostać się z izolowanego środowiska przeglądarki (tzw. piaskownicy, ang. sandbox), atakujący zwykle potrzebuje drugiej podatności. Zaawansowane operacje łączą więc kilka luk w jeden łańcuch (Al Jazeera). Confiant zastrzega, że nie przechwycił w terenie pełnego łańcucha exploitów (exploit – kod wykorzystujący lukę w oprogramowaniu). Zaobserwowana infrastruktura świadczy jednak o „zaawansowanym pakiecie zdolności” do oceny celów przed dostarczeniem właściwego ładunku (Confiant).
Co potrafi narzędzie Candiru
Al Jazeera opisała możliwości oprogramowania szeroko. Według sieci zbiera ono pliki i dokumenty, a z przeglądarek – ciasteczka (cookies), zakładki i zapisane dane logowania. Rejestruje też naciśnięcia klawiszy, wykonuje zrzuty ekranu, nagrywa obraz z kamery i dźwięk z mikrofonu oraz wydobywa e-maile i wiadomości z popularnych komunikatorów. By nie uruchomić zabezpieczeń, korzysta z szyfrowanych kanałów, a wykradzione dane dzieli na mniejsze porcje wysyłane stopniowo (Al Jazeera). Raport Citizen Lab nie zawiera pełnej analizy funkcji próbki z Al Jazeery. Opis ten jest jednak spójny z wcześniejszymi ustaleniami.
Najbardziej szczegółowe dane pochodzą z 2021 r. Microsoft, który nazwał wówczas narzędzie Candiru DevilsTongue, opisał je jako złożone, modułowe oprogramowanie działające także na poziomie jądra systemu Windows. Potrafiło kraść pliki i dane logowania, odszyfrowywać rozmowy z komunikatora Signal, przejmować ciasteczka przeglądarek i wykorzystywać je do logowania się na konta ofiary – w Gmailu, Facebooku czy na Twitterze – a nawet wysyłać z nich wiadomości w jej imieniu (Microsoft). Ujawniona wtedy oferta handlowa Candiru obiecywała także dostęp do kamery i mikrofonu, przechwytywanie historii przeglądania i haseł oraz zrzuty ekranu (Citizen Lab, 2021).
Ta sama oferta pokazuje skalę kosztów. Projekt za 16 mln euro pozwalał na nieograniczoną liczbę prób infekcji, ale na jednoczesne monitorowanie tylko 10 urządzeń. Za dodatkowe 1,5 mln euro klient mógł monitorować 15 kolejnych urządzeń i działać w jednym dodatkowym kraju. Kolejne 1,5 mln euro kosztowała funkcja zdalnej powłoki, dająca pełny dostęp do komputera ofiary (Citizen Lab, 2021). W tym samym dokumencie pojawił się wektor infekcji o nazwie „Sherlock”, który według badaczy mógł być przeglądarkowym atakiem zero-click. Dwa lata później „Haaretz” ujawnił, że Sherlock to produkt izraelskiej firmy Insanet, wprowadzany na rynek we współpracy z Candiru, który infekuje urządzenia przez reklamy, a jedno wdrożenie kosztowało ok. 6 mln euro (The Register). Raport Citizen Lab z 2026 r. przenosi te doniesienia z poziomu dokumentów handlowych na poziom kryminalistycznego dowodu.
Discover-Tech: fasada reklamowa
Discover-Tech powstała w 2020 r. i przedstawia się jako zwykła firma reklamowa. Citizen Lab twierdzi, że nie znalazł żadnych dowodów na prowadzenie przez nią legalnej działalności reklamowej (Citizen Lab, streszczenie raportu). W przeanalizowanych rekordach aukcyjnych żadna reklama nie przyniosła tzw. konwersji, czyli zakupu, instalacji aplikacji lub innej reakcji odbiorcy – co w branży reklamowej jest „wysoce nietypowe”. Dwa najczęściej promowane serwisy, w tym MyIPInfo, należały do samej Discover-Tech lub były z nią powiązane (Citizen Lab, raport, Confiant).
Prezesem spółki jest Dekel Boni, specjalista od reklamy cyfrowej. W latach 2020–2025 w zarządzie zasiadał Eric Banoun, współzałożyciel firm inwigilacyjnych Circles i Senpai Technologies, blisko powiązanych z NSO Group (producentem Pegasusa) i grupą Intellexa (producentem oprogramowania Predator). W latach 2020–2026 wśród udziałowców Discover-Tech była spółka powiązana z Sarą Hamou, która zarządzała siecią spółek Intellexy i została skazana przez grecki sąd na osiem lat więzienia (wyrok nieprawomocny) za udział w greckiej aferze podsłuchowej (Citizen Lab, streszczenie raportu).
Sercem operacji jest platforma Controlium, którą badacze opisują jako „kompleksową platformę dla firm produkujących spyware najemnicze”. Pozwala ona masowo profilować i odanonimizowywać miliony użytkowników, a następnie po cichu infekować wybrane cele (Citizen Lab, streszczenie raportu). Spyware najemnicze (ang. mercenary spyware) to komercyjne oprogramowanie szpiegujące, które prywatne firmy sprzedają rządom i służbom. Klient wybiera cele, a dostawca zapewnia narzędzia, infrastrukturę i często wsparcie techniczne. Controlium wpisuje się w szerszą dziedzinę ADINT (advertising intelligence), czyli wywiadu opartego na danych reklamowych. Dotąd ADINT kojarzono głównie z namierzaniem lokalizacji osób na podstawie danych z aukcji reklamowych. Raport pokazuje jego przejście od śledzenia do ataku.
Badacze dotarli do wnętrza platformy dzięki błędom w zabezpieczeniach samej Discover-Tech. Firma nieumyślnie udostępniła w internecie dzienniki logowań (bez uwierzytelnienia) oraz serwer z niemal czterema miliardami rekordów aukcyjnych (Reuters). Wśród użytkowników Controlium zidentyfikowano dwie osoby logujące się z izraelskiego adresu IP przypisanego Candiru/Integrity Labs. Jedna z nich odpowiada profilowi „szefa presales” (zespołu przygotowującego oferty i demonstracje dla klientów) w izraelskiej firmie z branży cyberbezpieczeństwa. Obie logowały się m.in. z Azerbejdżanu, Czech, Izraela, Włoch, Meksyku, Czarnogóry, ZEA i USA. Z platformy korzystali też według raportu użytkownicy powiązani z izraelskim Bindecy, specjalizującym się w exploitach zero-click na urządzenia mobilne, oraz z firmą Intelos, oferującą ADINT. Raport opisuje ponadto odrębnego aktora o kryptonimie DARK CARTOGRAPHER, który przez infrastrukturę Discover-Tech wykorzystywał luki u operatorów komórkowych w ponad 30 krajach, by przypisywać identyfikatory reklamowe do numerów telefonów (Citizen Lab, raport).
Candiru: firma z czarnej listy
Candiru, nazwana od pasożytniczej ryby z Amazonii, działała w przeszłości pod wieloma nazwami, m.in. Saito Tech. Obecnie funkcjonuje jako Integrity Labs (Citizen Lab, raport). 3 listopada 2021 r. Departament Handlu USA wpisał ją wraz z NSO Group na tzw. Entity List – listę podmiotów objętych restrykcjami eksportowymi. Uzasadnił to tym, że firma „opracowała i dostarczała zagranicznym rządom oprogramowanie szpiegujące, którego używano do złośliwego atakowania urzędników państwowych, dziennikarzy, przedsiębiorców, aktywistów, naukowców i pracowników ambasad” (Citizen Lab, streszczenie raportu).
Kilka miesięcy wcześniej Microsoft zidentyfikował co najmniej 100 ofiar narzędzi Candiru w dziesięciu krajach. Byli wśród nich politycy, obrońcy praw człowieka, dziennikarze, naukowcy, pracownicy ambasad i dysydenci (Microsoft). Według danych Microsoftu, przywołanych przez Recorded Future, około połowa ofiar mieszkała w Palestynie, pozostałe m.in. w Izraelu, Iranie, Libanie, Jemenie, Hiszpanii (Katalonii), Wielkiej Brytanii, Turcji, Armenii i Singapurze (Recorded Future). W 2022 r. Citizen Lab wykrył oprogramowanie Candiru u ofiar z katalońskiego społeczeństwa obywatelskiego, a w maju 2024 r. podjęto nieudaną próbę zainfekowania urządzeń niemieckiego europosła Daniela Freunda, krytyka rządu Viktora Orbána. Freund złożył zawiadomienie przeciwko Orbánowi i nieznanym sprawcom (Citizen Lab, raport, heise online).
W kwietniu 2025 r. izraelski dziennik gospodarczy „Calcalist” ujawnił, że amerykański fundusz Integrity Partners kupił aktywa Candiru za maksymalnie 30 mln dolarów i przeniósł je wraz z pracownikami do nowego podmiotu, nieobjętego sankcjami USA. Druga faza transakcji zależała od przeniesienia izraelskich licencji eksportowych (Calcalist). Citizen Lab zaznacza, że obecny status przejęcia jest niejasny. Podkreśla jednak, że próbka z Al Jazeery ma te same cechy techniczne co narzędzia Candiru sprzed zmiany właściciela (Citizen Lab, raport).
Skala: miliony profili, nie miliony infekcji
Drugi wymiar raportu jest szerszy niż sprawa Al Jazeery. Analiza czterech miliardów rekordów aukcyjnych z czterech miesięcy wykazała, że reklamy Discover-Tech pojawiały się na blisko 200 tys. stron i w aplikacjach na Androida i iOS w kilkudziesięciu krajach. Dodatkowo skrycie kierowały miliony urządzeń do serwerów Candiru, „prawdopodobnie w celu śledzenia i rozpoznania na dużą skalę” (Citizen Lab, raport). Reklamy wyświetlały się m.in. w Duolingo, aplikacjach randkowych, kalendarzach menstruacyjnych, Yahoo Mail, Viberze i Truecallerze, a także na stronach BBC, „New York Timesa”, „Haaretza”, CBC i Fox News (Citizen Lab, streszczenie raportu). Według współzałożyciela Confiant Jérôme'a Dangu firma emitowała co najmniej 10 mln reklam dziennie, a mechanizm tzw. synchronizacji ciasteczek (cookie matching) pozwalał jej śledzić ludzi także poza zasięgiem własnych reklam. „Bardzo prawdopodobne, że Discover-Tech dotknęło setek milionów ludzi” – ocenił (Reuters).
Reklamy Discover-Tech wyświetlano też w sieciach o znaczeniu dla bezpieczeństwa narodowego. Citizen Lab odnotował wyświetlenia w sieciach NATO, ONZ, Parlamentu Europejskiego, Komisji Europejskiej i Sekretariatu Generalnego Rady UE. W Szwecji reklamy trafiały m.in. do sieci sił zbrojnych, operatora sieci przesyłowej Svenska kraftnät, koncernu Saab i Volvo, a w Norwegii – do sieci Stortingu i policji, w tym jednostki Kripos zwalczającej poważną przestępczość. Na liście są też sieci rządowe 24 państw, w tym Czech, Włoch, Izraela i Rosji, oraz sieci producentów półprzewodników (Intel, Nvidia, Micron, ARM) i firm zbrojeniowych (Raytheon, Elbit Systems) (Citizen Lab, streszczenie raportu). Confiant zidentyfikował wyświetlenia w sieciach Departamentu Obrony USA, estońskiego Urzędu Systemów Informacyjnych (RIA), Międzynarodowej Agencji Energii Atomowej i Międzynarodowego Trybunału Karnego (The Record). Dangu zwrócił też uwagę na terytoria palestyńskie: „Wchodzisz na prawie każdą stronę w Palestynie – jakąkolwiek – i znajdujesz reklamę Discover-Tech. Daje im to bardzo pełny wgląd w cyfrową aktywność całego kraju” (Reuters).
Badacze wyraźnie zastrzegają, że samo wyświetlenie reklamy Discover-Tech nie potwierdza ani wyboru urządzenia na cel, ani infekcji. Ich zdaniem oznacza ono co najmniej profilowanie użytkownika, a w części przypadków mogło skutkować uruchomieniem kodu Candiru lub innych podmiotów. Dlatego wzywają do pilnego sprawdzenia, czy w tych sieciach doszło do infekcji (Citizen Lab, streszczenie raportu). Confiant dodaje, że reklamy powiązane z Candiru stanowiły jedynie niewielki ułamek całego wolumenu Discover-Tech (Reuters). Potwierdzone infekcje dotyczą więc dziesiątek urządzeń, a nie milionów. Miliony urządzeń zostały natomiast sprofilowane i potencjalnie zmapowane.
Certyfikat branży i reakcja po fakcie
Raport uderza także w branżę reklamową. Discover-Tech figurowała w latach 2020–2026 na listach „certyfikowanych” i „zatwierdzonych” dostawców prowadzonych przez Google i europejskie stowarzyszenie branżowe IAB Europe. Korzystała też z unijnych ram zgód RODO (TCF – mechanizmu, za pomocą którego strony przekazują reklamodawcom informację o zgodzie użytkownika), by targetować użytkowników w UE (Citizen Lab, raport). Confiant ustalił, że reklamy firmy przechwytywały ciasteczka wydawców na ponad tysiącu domen, w tym identyfikatory aktywnych sesji zalogowanych użytkowników. Działo się to także wtedy, gdy Discover-Tech nie miała zgody na przetwarzanie danych wymaganej przez RODO (Confiant).
Na początku października 2026 r. Google i IAB Europe usunęły Discover-Tech ze swoich rejestrów. Google, które współpracowało przy śledztwie, odcięło firmie dostęp do swoich giełd reklamowych „za systematyczne naruszanie zasad” i dodało jej domeny do mechanizmu ostrzeżeń Safe Browsing. Beeswax usunął spółkę z platformy, Vungle (Liftoff) zawiesił jej dostęp na czas własnej kontroli, a Eskimi zablokowało konta i domeny (Citizen Lab, raport, Reuters). Yandex nie odpowiedział na pytania Reutersa. Discover-Tech, Candiru/Integrity Labs, Bindecy i Intelos nie odpowiedziały na prośby o komentarz ani Citizen Lab, ani Reutersowi.
„Sposób, w jaki działa dziś reklama internetowa, jest systemowym zagrożeniem dla bezpieczeństwa – dla państw, sektora prywatnego, społeczeństwa obywatelskiego i wszystkich innych” – powiedział Reutersowi Wolfie Christl, jeden z autorów raportu (Reuters). Wcześniej w tym roku Pentagon informował o sygnałach, że amerykańscy żołnierze w strefach działań wojennych byli namierzani na podstawie danych lokalizacyjnych pozyskanych od firm reklamowych i brokerów danych (Reuters).
Kto zlecił atak? Pytanie bez odpowiedzi
Raport nie wskazuje, kto zlecił inwigilację Al Jazeery. To kluczowe zastrzeżenie, zwłaszcza że część relacji sugeruje odpowiedzialność państwa izraelskiego. Candiru sprzedaje swoje narzędzia rządom, a według Microsoftu to agencje rządowe same wybierają cele i prowadzą operacje (Microsoft). Citizen Lab ustalił jedynie, że logowania do Controlium pochodziły z adresów IP w Izraelu, Europie i krajach Zatoki Perskiej (Reuters). Badacze nie przypisali ataków żadnemu konkretnemu klientowi Candiru (Tech Times).
Kontekst jest złożony. Al Jazeera już wcześniej była celem oprogramowania szpiegującego. W lipcu i sierpniu 2020 r. zhakowano Pegasusem 36 prywatnych telefonów jej dziennikarzy, producentów, prezenterów i kadry kierowniczej. Citizen Lab przypisał wówczas dwóch z czterech operatorów Arabii Saudyjskiej i Zjednoczonym Emiratom Arabskim (Citizen Lab, 2020). Z kolei izraelski rząd w maju 2024 r. jednogłośnie zdecydował o zamknięciu działalności nadawcy w Izraelu na podstawie ustawy o czasowym zamykaniu zagranicznych mediów uznanych za zagrożenie dla bezpieczeństwa (Reuters). Kneset przedłużył tę ustawę w grudniu 2025 r. o dwa lata (Al Jazeera). Wrogość rządu Izraela wobec stacji nie jest jednak dowodem, że to on zlecił atak. Według ujawnionej w 2021 r. oferty Candiru jej produkt nie miał działać m.in. w USA, Rosji, Chinach, Izraelu i Iranie, choć Microsoft wykrył ofiary także w Izraelu i Iranie (Recorded Future). Paradoksalnie w 2021 r. Citizen Lab odnotował też doniesienia, że w Candiru zainwestowała spółka powiązana z katarskim funduszem majątkowym (Citizen Lab, 2021).
Citizen Lab zaznacza, że atak na Al Jazeerę wpisuje się w długotrwały wzorzec. Inwigilacja mediów zagraża poufności źródeł i może zniechęcać do podejmowania tematów, a wiedza o ruchach, tematach i spotkaniach dziennikarzy może narażać ludzi na fizyczne niebezpieczeństwo – zwłaszcza reporterów, współpracowników i informatorów w strefach konfliktów. Badacze apelują do redakcji na całym świecie, by przejrzały swoje zabezpieczenia i logi pod kątem śladów podobnych ataków (Citizen Lab, raport). Komitet Ochrony Dziennikarzy (CPJ) nagłośnił raport, podkreślając liczbę co najmniej 45 zaatakowanych urządzeń (CPJ).
Polski kontekst
Polska nie znalazła się na opublikowanej przez Citizen Lab liście państw, w których sieciach rządowych wykryto wyświetlenia reklam Discover-Tech. Badacze zastrzegają jednak, że mieli wgląd jedynie w dane z platformy MyDSP i z ograniczonego okresu, bez danych Beeswax i Eskimi, a śledztwo trwa (Citizen Lab, streszczenie raportu). Raport odnotowuje też, że jedno z kont powiązanych z firmą Intelos logowało się do Controlium m.in. z Polski, obok Belgii, Izraela i Singapuru (Citizen Lab, raport). Sam ten fakt nie przesądza ani o polskim celu, ani o polskim kliencie – może oznaczać choćby podróż użytkownika.
Polska ma za to własne doświadczenia z oprogramowaniem szpiegującym. W kwietniu 2024 r. prokurator generalny poinformował Sejm i Senat, że w latach 2017–2022 CBA, ABW i SKW zastosowały „kontrolę operacyjną urządzenia końcowego”, czyli Pegasusa, wobec 578 osób (Gazeta Prawna). AdFection pokazuje jednak zagrożenie innego rodzaju: wektor ataku dostępny dla każdego klienta zagranicznego dostawcy, który potrafi kupić reklamę. Ten sam kanał może posłużyć do rozpoznania urzędników, wojskowych, pracowników przemysłu obronnego czy dziennikarzy.
Jak się chronić
Citizen Lab nazywa blokowanie reklam „dobrą praktyką cyberbezpieczeństwa”. Instytucjom zaleca blokowanie reklam i śledzenia na bramach sieciowych oraz na urządzeniach służbowych, wyłączenie targetowania reklam na sprzęcie zarządzanym centralnie (MDM – zarządzanie urządzeniami mobilnymi), przechodzenie na przeglądarki z wbudowaną ochroną przed śledzeniem i monitorowanie ruchu związanego z wyświetleniami reklam. Osobom indywidualnym radzi korzystać ze sprawdzonych blokerów reklam, regularnie resetować identyfikator reklamowy telefonu, wyłączyć śledzenie reklam i używać blokowania reklam na poziomie routera lub zaufanego VPN (Citizen Lab, raport). Stephen O'Shaughnessy z TU Dublin przypomina, że dla większości ludzi ryzyko pozostaje niskie, bo takie ataki są drogie i wymierzone w konkretne osoby. Dziennikarzom i urzędnikom zaleca dodatkowo bieżące aktualizacje oraz włączenie trybu blokady (Lockdown Mode) w iPhonie lub Zaawansowanej ochrony (Advanced Protection) w Androidzie (Al Jazeera).