Een Israëlisch advertentietechnologiebedrijf, Discover-Tech, gebruikte alledaagse online advertenties om mensen te volgen en spyware op hun apparaten te installeren, volgens berichtgeving van Reuters van 15 oktober 2026. Het bedrijf plaatste zijn advertenties via een uitgebreid netwerk van websites en applicaties op advertentieplatforms van Google, Comcast en Yandex.

Onafhankelijke onderzoeken door Citizen Lab en Confiant lieten zien hoe de operatie werkte: het louter laden van een advertentie kon gebruikers blootstellen aan surveillance of spyware, zelfs zonder klik.

Waarom het laden van een advertentie volstond om een apparaat te compromitteren

Real-time bidding, het systeem dat advertentieruimte in milliseconden veilt, deelt apparaat- en locatiegegevens met potentiële kopers, en sommige advertenties voeren ook code uit. Die combinatie van gedeelde gegevens en uitvoerbare advertentiecode vormt volgens de onderzoekers het invalspunt voor de techniek. Citizen Lab heeft de zero-click-spywaretechniek "AdFection" gedoopt en koppelt Discover-Tech aan Candiru, een Israëlische spywarefabrikant die in 2021 door de Verenigde Staten op de zwarte lijst is geplaatst.

Op 12 april 2026 identificeerde Confiant een MyIPInfo-banner die doorkoppelde naar infrastructuur die via Amazon CloudFront aan Candiru gelinkt is. De advertentie laadde een nepverificatietool met ongeveer 90KB verborgen JavaScript, waarmee informatie over het apparaat kon worden verzameld en communicatie via een versleuteld kanaal mogelijk was. Confiant onderzocht de activiteit tussen april en september 2026.

45 geïnfecteerde machines bij Al Jazeera, miljoenen meer blootgesteld

Citizen Lab onderzocht vier miljard biedingsrecords en stelde vast dat Discover-Tech zijn advertenties had geboekt op ten minste 120.000 websites en in 75.000 applicaties. Volgens een schatting van Confiant werden er dagelijks ten minste 10 miljoen advertenties via Discover-Tech geleverd. Confiant-medeoprichter Jerome Dangu zei dat "zeer waarschijnlijk honderden miljoenen mensen door Discover-Tech zijn geraakt."

Citizen Lab bevestigde dat Candiru-spy in 2024–2025 45 Windows-machines bij Al Jazeera compromitteerde. De omroep verklaarde dat zij "de spywareaanvallen op een aantal van haar medewerkers veroordeelt."

Discover-Tech-advertenties verschenen ook op netwerken die gelieerd zijn aan overheids- en internationale instanties, waaronder het Pentagon, de Verenigde Naties, de NAVO, de Europese Commissie, het Internationaal Atoomenergieagentschap en het Internationaal Strafhof. Onderzoekers ontdekten de advertenties eveneens op netwerken gelieerd aan chipfabrikanten Nvidia, Broadcom en Micron.

Blootstelling betekent echter niet automatisch infectie. In tegenstelling tot de gemelde compromitteringen bij Al Jazeera bevestigen deze verschijningen niet dat spyware apparaten bij die instellingen succesvol heeft geïnfecteerd.

Google, IAB Europe en Beeswax verbreken de toegang

Google verwijderde Discover-Tech van zijn advertentieplatform wegens "structurele schending van ons beleid." IAB Europe schrapte het bedrijf van zijn lijst van goedgekeurde leveranciers, en Comcasts Beeswax blokkeerde de toegang tot het platform.

De bevindingen hebben bredere zorgen over de beveiliging van online advertenties aangewakkerd. Citizen Lab-onderzoeker Wolfie Christl waarschuwde dat "de manier waarop online advertenties tegenwoordig werken een systemisch veiligheidsrisico is."

Een markt van $1,34 biljoen gebouwd op dezelfde infrastructuur

De advertentiemarkt blijft groeien, wat de inzet voor beveiliging vergroot. Real-time bidding vormt het hart van dat ecosysteem: dezelfde veilingen die miljarden aan uitgaven verdelen, bepalen ook welke advertenties — en de code die ze meedragen — de apparaten van gebruikers bereiken. WARC verwacht dat de wereldwijde advertentie-uitgaven in 2026 uitkomen op $1,34 biljoen, terwijl programmaadvertenties in de Verenigde Staten in 2025 $162,4 miljard opleverden, volgens IAB-cijfers. Beveiligingsmaatregelen kunnen de toegenomen inzet van kunstmatige intelligentie in de advertentiebranche niet bijhouden.

Uit onderzoek van IAB blijkt dat slechts ongeveer 40% van de ondervraagde advertentiekopers al stappen heeft ondernomen of van plan is stappen te ondernemen rond de juridische, veiligheids- en datarisico's van door AI aangedreven meting.

Noorwegen beboette het aan Microsoft gelieerde Xandr onlangs met NOK 92 miljoen wegens het ongeoorloofd delen van gevoelige Grindr-gegevens via advertentieveilingen — een privacyovertreding, geen spywarezaak. Toezichthouder Line Coll zei dat verantwoordelijkheid "niet bij anderen kan worden neergelegd."

De zaak rond Discover-Tech valt samen met een periode waarin advertentiebedrijven steeds meer investeren in consumentgegevens en door AI aangedreven targeting. Zoals Cryptopolitan eerder berichtte, sloot Publicis Groupe een overeenkomst om LiveRamp voor $2,2 miljard over te nemen, waarmee het zijn AI-gestuurde marketingactiviteiten versterkt. Hoewel die deal geen band heeft met de spywareaanvallen, onderstreept zij hoe centraal gegevens en automatisering voor de br zijn geworden.

Citizen Lab heeft opgeroepen tot onderzoek naar Discover-Tech en Candiru, wat druk zet op advertentieplatforms om hun screening van leveranciers en detectie van kwaadaardige advertenties te verbeteren. Of die oproepen tot formele onderzoeken leiden — en tot strengere leveranciersscreening in de ad-tech-toeleveringsketen — moet nog blijken.