Do tej pory ostrzegaliśmy przede wszystkim: nie klikaj podejrzanych reklam, nie pobieraj plików z nieznanych stron i uważaj, gdzie wpisujesz swoje dane. AdFection pokazuje jednak znacznie bardziej niepokojący scenariusz. W opisanych przez badaczy atakach ofiara nie musiała kliknąć reklamy, pobierać aplikacji ani otwierać podejrzanego załącznika. Wystarczyło, że odpowiednio dobrana reklama została wyświetlona na jej urządzeniu. System reklamowy, którego zadaniem jest znalezienie właściwego konsumenta, został wykorzystany do znalezienia właściwej ofiary.

15 października 2026 roku Citizen Lab opublikował wyniki śledztwa dotyczącego mechanizmu nazwanego AdFection. Badacze opisali go jako pierwszy publicznie technicznie potwierdzony przypadek wykorzystania targetowanych reklam internetowych do przeprowadzenia ataku zero-click i instalacji komercyjnego oprogramowania szpiegującego. To ważna różnica wobec znanego od lat malvertisingu. Złośliwe reklamy od dawna przekierowują internautów na fałszywe strony, wyświetlają komunikaty o rzekomych wirusach albo próbują nakłonić użytkownika do pobrania programu. Tutaj reklama stała się częścią infrastruktury umożliwiającej wytypowanie konkretnego urządzenia, rozpoznanie go i — w odpowiednich warunkach — przeprowadzenie ataku bez działania użytkownika.

Reklama nie musiała wyglądać podejrzanie

Najbardziej niepokojące jest właśnie to, że użytkownik nie musiał zrobić niczego, co zwykle kojarzymy z początkiem infekcji. Nie było konieczności kliknięcia przycisku „Pobierz”, wejścia na dziwną stronę czy zaakceptowania instalacji aplikacji spoza oficjalnego sklepu. Reklama mogła wyglądać zupełnie zwyczajnie, a w niektórych przypadkach użytkownik nie musiał nawet zwrócić na nią uwagi. W aplikacjach element reklamowy może przecież zostać wyrenderowany w tle albo znajdować się poza centrum zainteresowania użytkownika.

Schemat był możliwy dzięki temu, jak działa współczesna reklama internetowa. Kiedy otwieramy stronę lub aplikację, miejsce reklamowe może zostać wystawione w błyskawicznej aukcji. Systemy reklamowe przekazują potencjalnym reklamodawcom szereg informacji pozwalających ocenić, komu opłaca się wyświetlić reklamę. Całość trwa ułamek sekundy. Ten sam mechanizm, który pozwala producentowi butów szukać osób potencjalnie zainteresowanych zakupem butów, może jednak zostać wykorzystany do znacznie bardziej niebezpiecznego celu.

AdFection pokazał, że reklamowa infrastruktura identyfikacji i targetowania może również posłużyć do odnajdywania konkretnych urządzeń.

System reklamowy jako narzędzie do namierzania ludzi

W centrum sprawy znalazła się izraelska spółka Discover-Tech, która funkcjonowała w ekosystemie reklamy internetowej i dysponowała platformą określaną jako Controlium. Według ustaleń Citizen Lab infrastruktura firmy umożliwiała między innymi profilowanie urządzeń, łączenie różnych identyfikatorów oraz wybieranie konkretnych celów.

Nie chodziło więc wyłącznie o klasyczne targetowanie w rodzaju „mężczyźni w wieku 25–35 lat zainteresowani motoryzacją”. W grę wchodziły identyfikatory reklamowe urządzeń, adresy IP, ciasteczka oraz dane pozwalające stworzyć znacznie dokładniejszy obraz konkretnego użytkownika i urządzenia.

To właśnie tutaj zwykła reklama internetowa zaczyna przypominać narzędzie wywiadowcze. System stworzony do odpowiedzi na pytanie „któremu użytkownikowi pokazać tę reklamę?” równie dobrze może pomóc odpowiedzieć na pytanie „na którym urządzeniu znajduje się osoba, którą chcemy zaatakować?”.

Badacze przeanalizowali prawie cztery miliardy rekordów związanych z aukcjami reklamowymi Discover-Tech z zaledwie kilku miesięcy 2026 roku. Skala była ogromna. Reklamy powiązane z infrastrukturą spółki pojawiały się w dziesiątkach tysięcy aplikacji oraz na ponad stu tysiącach stron internetowych. Nie oznacza to oczywiście, że każdy użytkownik, który zobaczył taką reklamę, został zainfekowany. To bardzo ważne rozróżnienie. Większość urządzeń mogła służyć jedynie do profilowania i budowania ogromnej bazy pozwalającej później odnaleźć właściwy cel.

Najpierw profilowanie, później właściwy atak

Mechanizm był szczególnie skuteczny właśnie dlatego, że złośliwy kod nie musiał być dostarczany każdemu użytkownikowi.

Po wygraniu aukcji reklama trafiała na stronę lub do aplikacji. Osadzony w niej kod mógł skontaktować się z infrastrukturą kontrolowaną przez operatora i przekazać informacje pozwalające zidentyfikować urządzenie. Serwer podejmował następnie decyzję, co zwrócić.

Dla zdecydowanej większości internautów odpowiedź mogła nie zawierać niczego szczególnego. Dzięki temu automatyczne systemy bezpieczeństwa analizujące reklamy mogły nie zobaczyć właściwego ataku. Dopiero urządzenie odpowiadające poszukiwanemu celowi mogło otrzymać inny kod prowadzący do wykorzystania podatności i infekcji.

To niezwykle skuteczna forma ukrywania działalności. Analityk bezpieczeństwa, automat skanujący reklamę i przypadkowy użytkownik mogą zobaczyć zupełnie niewinną treść. Złośliwy element zostaje pokazany tylko temu jednemu urządzeniu, na którym napastnikowi rzeczywiście zależy.

Candiru i infekcje w Al Jazeerze

Citizen Lab powiązał część infrastruktury wykorzystywanej w atakach z Candiru, izraelską firmą rozwijającą komercyjne oprogramowanie szpiegujące, która w 2021 roku została wpisana przez amerykańskie władze na listę podmiotów objętych ograniczeniami handlowymi.

Badacze potwierdzili infekcję 45 urządzeń należących do osób związanych z Al Jazeerą w latach 2024–2025. Atak miał działać zarówno przeciwko urządzeniom z iOS, jak i Androidem. Nie oznacza to jednak, że wszystkie miliony urządzeń, które zetknęły się z infrastrukturą Discover-Tech, zostały zhakowane. Potwierdzone infekcje są znacznie węższą grupą. Skala działalności pokazuje natomiast, jak ogromny system można wykorzystać do znalezienia stosunkowo niewielkiej liczby bardzo konkretnych celów.

Ślady reklam powiązanych z Discover-Tech pojawiały się również w sieciach należących do administracji publicznych, wojska, organizacji międzynarodowych oraz infrastruktury krytycznej. Wśród nich znalazły się sieci związane między innymi z NATO i Organizacją Narodów Zjednoczonych. Sama obecność reklamy w takiej sieci nie dowodzi infekcji. Pokazuje jednak, że infrastruktura reklamowa była w stanie dotrzeć również do urządzeń znajdujących się w wyjątkowo wrażliwych środowiskach.

Zero-click zmienia podstawową zasadę bezpieczeństwa

Przez lata jedną z najprostszych porad dotyczących bezpieczeństwa było: „nie klikaj podejrzanych linków”. To nadal bardzo dobra rada i ochroni przed ogromną częścią internetowych oszustw. AdFection przypomina jednak o istnieniu zupełnie innej klasy zagrożeń.

Ataki zero-click nie wymagają błędu użytkownika. Ich skuteczność opiera się na znalezieniu podatności w przeglądarce, systemie operacyjnym, komponencie aplikacji lub innym oprogramowaniu przetwarzającym otrzymane dane. Jeżeli odpowiednio przygotowana treść potrafi wykorzystać taką lukę automatycznie, ofiara nie musi świadomie uruchamiać ataku.

Nie znaczy to jednak, że każdy banner reklamowy stał się nagle zagrożeniem i należy przestać korzystać z internetu. Narzędzia klasy Candiru są drogie, skomplikowane i zazwyczaj wykorzystywane przeciwko konkretnym, wartościowym celom: dziennikarzom, politykom, działaczom, pracownikom instytucji publicznych czy osobom posiadającym dostęp do szczególnie cennych informacji.

Problem polega na czymś innym. AdFection udowadnia, że infrastruktura, z którą każdego dnia kontaktują się miliardy urządzeń, może posłużyć jako kanał dostarczenia takiego ataku.

Reklama wie o nas znacznie więcej, niż widzimy na ekranie

Historia AdFection jest więc jednocześnie historią spyware i historią współczesnej reklamy internetowej. Ogromny ekosystem powstał po to, aby reklamodawca mógł możliwie dokładnie zdecydować, komu chce pokazać swój komunikat. W tym celu branża stworzyła identyfikatory reklamowe, mechanizmy synchronizacji użytkowników pomiędzy platformami, systemy profilowania i działające w czasie rzeczywistym aukcje obejmujące niewyobrażalną liczbę urządzeń.

Dla sklepu internetowego to możliwość pokazania reklamy osobie zainteresowanej konkretnym produktem. Dla firmy sprzedającej spyware ta sama technologia może potencjalnie stać się mechanizmem odnalezienia telefonu konkretnego człowieka.

I właśnie dlatego sprawa AdFection jest znacznie poważniejsza niż kolejna kampania zawierająca „zainfekowane reklamy”. Zakwestionowany został sam model zaufania do infrastruktury reklamowej i ogromnej ilości danych krążących pomiędzy podmiotami, których przeciętny internauta nawet nie zna.

Branża reklamowa odcina Discover-Tech

Po ujawnieniu sprawy dostęp Discover-Tech do części infrastruktury reklamowej został ograniczony. Firmy działające w ekosystemie programmatic zaczęły blokować spółkę, a IAB Europe poinformowało, że Discover-Tech zostało zawieszone na Global Vendor List w ramach Transparency & Consent Framework. Organizacja wskazała przy tym na naruszenia zasad TCF wykryte podczas audytu.

To jednak rozwiązuje problem tylko częściowo. Zablokowanie jednego operatora nie usuwa mechanizmu, który pozwolił mu działać. Te same cechy ekosystemu reklamowego — ogromna liczba pośredników, automatyczne aukcje odbywające się w milisekundach, rozbudowane profilowanie i możliwość wykonywania kodu po stronie użytkownika — nadal istnieją.

Czy można się przed AdFection ochronić?

Przeciętny użytkownik ma tutaj znacznie mniej możliwości niż w przypadku zwykłego phishingu, ale nie jest całkowicie bezbronny. Najważniejsze pozostaje regularne aktualizowanie systemu operacyjnego, przeglądarki i aplikacji, ponieważ ataki tego rodzaju ostatecznie potrzebują podatności umożliwiającej wydostanie się poza zwykłe możliwości reklamy.

Znaczenie może mieć również ograniczanie śledzenia reklamowego, resetowanie identyfikatorów reklamowych oraz korzystanie z mechanizmów blokujących reklamy i skrypty firm trzecich. Nie daje to stuprocentowej ochrony, ale zmniejsza powierzchnię wykorzystywaną do profilowania i dostarczania treści.

Osoby szczególnie narażone na ataki sponsorowane lub komercyjne spyware powinny korzystać również z dodatkowych zabezpieczeń dostępnych w systemach mobilnych, takich jak tryby zwiększonej ochrony przeznaczone dla użytkowników wysokiego ryzyka.

Najbardziej przerażająca reklama to ta, której nawet nie zauważyłeś

AdFection nie jest powodem, żeby uznać każdą internetową reklamę za próbę włamania. Jest jednak jednym z najmocniejszych dotychczas dowodów na to, że technologie reklamowe mogą zostać wykorzystane w sposób znacznie wykraczający poza irytujące śledzenie zainteresowań użytkownika.

Przez lata dyskusja o reklamie behawioralnej dotyczyła przede wszystkim prywatności: tego, ile firmy wiedzą o naszych zakupach, zainteresowaniach, lokalizacji czy odwiedzanych stronach. Teraz trzeba do niej dopisać znacznie bardziej niepokojące pytanie.

Co stanie się, kiedy infrastruktura zaprojektowana po to, aby znaleźć właściwego odbiorcę reklamy, zacznie być używana do znajdowania właściwego celu ataku?

AdFection daje na nie bardzo niewygodną odpowiedź.