Hakovanje bez ijednog klika: Izraelski špijunski softver širi se putem online oglasa

U novom izvještaju laboratorije Univerziteta u Torontu navodi se da izraelska kompanija Discover-Tech omogućava kreatorima špijunskog softvera korištenje njene oglasne platforme za precizno ciljanje pojedinaca i institucija.

Istraživači ističu da se Discover-Tech javno predstavlja kao legitimna marketinška platforma, ali u stvarnosti služi kao "most između prodavača oglasa i ekosistema plaćeničkog špijunskog softvera".

Prema nalazima Citizen Laba, platformu su koristila najmanje dva poznata proizvođača tzv. zero-click špijunskog softvera – Candiru i Bindecy. Riječ je o alatima za nadzor koji inficiraju uređaj bez ikakve interakcije žrtve; nije potrebno kliknuti na sumnjivi link niti otvoriti poruku – dovoljno je samo da se oglas učita na posjećenoj stranici ili unutar aplikacije.

Kao jedan od najkonkretnijih dokaza navodi se napad na medijsku kuću Al Jazeera, gdje je tokom 2024. i 2025. godine zaraženo najmanje 45 Windows računara putem Candiruovog softvera, nakon što su uređaji bili izloženi oglasima s ugrađenim zlonamjernim kodom.

Iako istraživači nisu precizirali koje vlade stoje iza ovih operacija, ovo predstavlja prvu tehnički potvrđenu upotrebu online oglasnih mreža za distribuciju vladinog špijunskog softvera bez klika.

Do ključnih dokaza istraživači su došli zahvaljujući propustima u samoj platformi kompanije Discover-Tech, nazvanoj Controlium.

Web-stranica platforme imala je izložen izvorni kod i javno dostupne dijelove sistema koji su omogućili preuzimanje baze korisnika bez unosa lozinke.

Među podacima za prijavu pronađeni su nalozi zaposlenika kompanija Candiru i Bindecy. Također su analizirane milijarde zapisa o aukcijama oglasa, koji pokazuju da su sporni oglasi između marta i juna 2026. godine prikazivani na desetinama hiljada mobilnih aplikacija i web-stranica.

U saradnji s kompanijom za sigurnost oglasa Confiant, utvrđeno je da su se ti oglasi pojavljivali na mrežama koje koriste vojne institucije, vladina tijela, nacionalne sajber agencije, ali i organizacije poput Međunarodne agencije za atomsku energiju (IAEA) i Međunarodnog krivičnog suda (ICC). Za sada nije poznato da li su ti prikazi rezultirali uspješnim zarazama uređaja.