Izraelska firma technologiczno-reklamowa Discover-Tech wykorzystywała zwykłe reklamy internetowe do śledzenia użytkowników i instalowania na ich urządzeniach spyware, według doniesień Reutersa opublikowanych 15 października 2026 r. Firma umieszczała swoje reklamy w rozległej sieci stron internetowych i aplikacji za pośrednictwem platform reklamowych obsługiwanych przez Google, Comcast i Yandex.

Niezależne śledztwa Citizen Lab i Confiant opisały, jak działała ta operacja: samo wyświetlenie reklamy mogło narazić użytkowników na inwigilację lub spyware, nawet bez kliknięcia.

Dlaczego samo wyświetlenie reklamy wystarczyło do skompromitowania urządzenia

Licytacje w czasie rzeczywistym (real-time bidding), system aukcjonujący przestrzeń reklamową w ułamkach milisekund, udostępniają dane o urządzeniu i lokalizacji potencjalnym kupującym, a niektóre reklamy uruchamiają również kod. To połączenie udostępnianych danych i wykonywalnego kodu reklamowego zostało przez badaczy wskazane jako furtka dla tej techniki. Citizen Lab nazwał tę technikę spyware zero-click „AdFection” i powiązał Discover-Tech z Candiru — izraelskim producentem spyware objętym czarną listą Stanów Zjednoczonych w 2021 r.

12 kwietnia 2026 r. Confiant zidentyfikował baner MyIPInfo, który przekierowywał do infrastruktury powiązanej z Candiru za pośrednictwem Amazon CloudFront. Reklama wczytywała fałszywe narzędzie weryfikacyjne zawierające około 90 KB ukrytego kodu JavaScript, co pozwalało na zbieranie informacji o urządzeniu i komunikację przez zaszyfrowany kanał. Confiant badał tę aktywność od kwietnia do września 2026 r.

45 zainfekowanych maszyn w Al Dżazirze, miliony kolejnych narażonych

Citizen Lab przeanalizował cztery miliardy rekordów licytacji i ustalił, że Discover-Tech zamówił swoje reklamy na co najmniej 120 000 stron internetowych i w 75 000 aplikacji. Według szacunków Confiant za pośrednictwem Discover-Tech dostarczanych było co najmniej 10 milionów reklam dziennie. Współzałożyciel Confiant Jerome Dangu powiedział, że „bardzo prawdopobnie setki milionów osób zostało dotkniętych przez Discover-Tech”.

Citizen Lab potwierdził, że spyware Candiru skompromitowało 45 maszyn z systemem Windows w Al Dżazirze w latach 2024–2025. Stacja telewizyjna oświadczyła, że „potępia ataki spyware wymierzone w część jej pracowników”.

Reklamy Discover-Tech pojawiały się także w sieciach powiązanych z agencjami rządowymi i międzynarodowymi, w tym z Pentagonem, ONZ, NATO, Komisją Europejską, Międzynarodową Agencją Energii Atomowej i Międzynarodowym Trybunałem Karnym. Badacze wykryli również reklamy Discover-Tech w sieciach powiązanych z producentami układów: Nvidia, Broadcom i Micron.

Narażenie nie oznacza jednak koniecznie zainfekowania. W odróżnieniu od doniesionych kompromitacji w Al Dżazirze sama obecność tych reklam nie dowodzi, że spyware z powodzeniem zainfekowało urządzenia w tych instytucjach.

Google, IAB Europe i Beeswax odcinają dostęp

Google usunął Discover-Tech ze swojej platformy reklamowej „za systematyczne naruszanie naszych zasad”. IAB Europe skreślił firmę z listy zatwierdzonych dostawców, a Beeswax należący do Comcastu zablokował jej dostęp do platformy.

Te ustalenia wzbudziły szersze obawy o bezpieczeństwo reklamy internetowej. Badacz Citizen Lab Wolfie Christl ostrzegł, że „sposób, w jaki dziś działa reklama internetowa, stanowi systemowe zagrożenie dla bezpieczeństwa”.

Rynek wart 1,34 biliona dolarów zbudowany na tej samej infrastrukturze

Rynek reklamowy stale rośnie, co podnosi stawkę dla bezpieczeństwa. Licytacje w czasie rzeczywistym stanowią serce tego ekosystemu: te same aukcje, które rozdzielają miliardowe wydatki, decydują też o tym, które reklamy — i zawarty w nich kod — trafiają na urządzenia użytkowników. WARC przewiduje, że globalne wydatki na reklamę osiągną w 2026 r. 1,34 biliona dolarów, podczas gdy reklama programmatic w Stanach Zjednoczonych wygenerowała w 2025 r. 162,4 miliarda dolarów, według danych IAB. Środki bezpieczeństwa nie nadążają za rosnącym zastosowaniem sztucznej inteligencji w branży reklamowej.

Badania IAB pokazują, że tylko około 40% badanych reklamodawców podjęło lub planuje podjąć działania dotyczące ryzyk prawnych, bezpieczeństwa i danych związanych z pomiarem opartym na AI.

Norwegia niedawno ukarała należący do Microsoftu Xandr grzywną w wysokości 92 mln NOK za bezprawne udostępnianie wrażliwych danych Grindr poprzez aukcje reklamowe — było to naruszenie prywatności, a nie sprawa spyware. Regulator Line Coll powiedział, że odpowiedzialności „nie można zrzucić na innych”.

Sprawa Discover-Tech przypada w czasie, gdy firmy reklamowe coraz mocniej inwestują w dane konsumentów i targetowanie oparte na AI. Jak wcześniej donosił Cryptopolitan, Publicis Groupe podpisał porozumienie o zakupie LiveRamp za 2,2 miliarda dolarów, wzmacniając swoje działania marketingowe oparte na AI. Choć ta transakcja nie ma związku z atakami spyware, pokazuje, jak kluczowe dla branży stały się dane i automatacja.

Citizen Lab zażądał śledztw w sprawie Discover-Tech i Candiru, wywierając presję na platformy reklamowe, aby poprawiły sposoby weryfikacji dostawców i wykrywania złośliwych reklam. Czy te apele doprowadzą do formalnych śledztw — oraz ściślejszej weryfikacji dostawców w całym łańcuchu supply chain adtechu — pozostaje do zobaczenia.