热点跟踪 022｜广告第一次被实锤为间谍软件管道：认证名单挂了它六年

先把时间钉住。10 月 15 日，多伦多大学 Citizen Lab 发布第 195 号报告《Exposing AdFection》，作者包括 Bill Marczak、John Scott-Railton、Ron Deibert 等人。报告称，这是首个经公开技术确认的、通过定向在线广告投送的零点击商业间谍软件攻击，Citizen Lab 把这套技术命名为 AdFection。同一天，广告安全公司 Confiant 发布配合调查。传播端，相关帖子当晚冲上 Hacker News 热榜，截至 10 月 16 日上午已超 340 个支持票、500 多条评论，仍在涨。48 小时窗口是 10 月 15 日到 10 月 17 日，本稿在窗内。口径先钉死：「首个确认」是 Citizen Lab 的自称口径，本篇照录不升格；以下事实均标注来源，评论区观点逐一归属。

发生了什么

核心事实一：新闻机构设备被广告感染。报告确认，半岛电视台（Al Jazeera）国际新闻网的设备曾被以色列公司 Candiru 的商业间谍软件感染，投送渠道是定向在线广告。Candiru 现已改名为「Integrity Labs」。感染涉及几台设备、发生在何时，报告公开段落没有给出细节，本篇就不补了。

核心事实二：广告买家是间谍软件的协助方。恶意广告由以色列公司 Discover-Tech 购买。这家公司对外自称正规广告公司，实际被 Citizen Lab 发现充当多家商业间谍软件厂商的协助方，合作方不止 Candiru，还有 Intelos 和 Bindecy。它运营一个叫 Controlium 的平台，让合作方在广告被渲染的那一刻完成去匿名化、指纹识别、自动感染设备，也就是零点击攻击：用户不需要点任何东西，广告显示出来，攻击就已经发生。

核心事实三：规模是生态级的。Citizen Lab 分析了 40 亿条 Discover-Tech 竞价记录，发现四个月内其广告出现在近 20 万个独立网站和 Android、iOS 应用上，覆盖数十个国家。报告还发现，Discover-Tech 的广告秘密引导数百万台设备联系 Candiru 的服务器，报告判断这可能用于大规模跟踪与侦察。另有一个被命名为 DARK CARTOGRAPHER 的威胁方在利用 Discover-Tech 的基础设施，攻击多家移动运营商的漏洞，把设备广告 ID 与手机号关联，细节留给后续报告。

机制值得拆开讲，因为它是这篇报告最冷的部分。你平时看到的广告，多数经实时竞价（RTB）产生：广告商竞拍「给这个特定用户展示这条广告」的机会，竞价由 Google 等公司的广告交易所托管，规模是每天数千亿次。广告不只是图片和视频，它还携带 HTML 和 JavaScript 代码，连接一个或多个域名，用于跟踪曝光和点击。广告商之间还做 ID syncing，互相交换用户标识符，把你跨网站、跨广告商地识别出来，拼成画像再定向。Discover-Tech 正是站在这套基础设施的合法入口上作案：它有自己的广告购买平台 MyDSP，像任何正规买家一样参与竞价，广告本身看着无害，评论区总结是游戏横幅、电商促销、IP 查询站这类东西，但每条广告里藏着小脚本，渲染时安静回连。定向能力也是现成的，报告指出，利用性别、年龄、地区加几项校验条件，广告网络几乎可以唯一识别一个个体。摊开说，攻击者不需要黑进任何网站，它只要出个价，剩下的事广告生态自己就办完了。这套基础设施本来是为「把广告递给最可能买的人」设计的，定向越准，商业价值越高；现在同一套精准，被用来把漏洞递给最该被监视的人。对目标而言，被选中不是因为他点了什么，而是因为他的画像匹配了买家的出价条件。

认证名单挂了六年：批评面主线

第一个讽刺在认证。据报告，Discover-Tech 从 2020 年到 2026 年一直出现在 Google 和行业组织 IAB Europe 维护的「认证」「核准」供应商名单上，并经 Google、Yandex、Beeswax 等大网络投放广告。六年里，行业的安全审核机制没有拦住一家间谍软件协助方，直到独立研究者披露，名单才在 10 月初更新。这里要问的不是「为什么有坏人」，而是「认证审的到底是什么」。

第二个讽刺在合规外衣。报告发现，Discover-Tech 还利用欧盟 GDPR 的同意框架，也就是 IAB 的 TCF，在欧盟境内定向用户，让自己显得合规。同意弹窗、Cookie 横幅这套为保护隐私而生的监管框架，被反向用作定向投毒的掩护。合规不等于安全，这是目前最锋利的例证。

第三个是改名。Candiru 被点名后改名为 Integrity Labs，报告专门括号注明。一家被多国研究机构和媒体曝光过的间谍软件厂商，换个名字就继续经营了，而且这次的名字里还带着「诚信」二字。

报告自己的结构性结论写在小节标题里：AdFection 表明在线广告是网络安全与隐私危机。广告系统未能检测或阻止报告中记录的滥用。报告还提醒，在国家行为体背景下，恶意广告可以经国防人员、政治领袖、关键基础设施维护者使用的 app 与网站投送，对国家本身构成国安风险。报告呼吁监管机构调查 Discover-Tech 与 Candiru 是否违法。

官方口径对不上：谁在装死

Citizen Lab 向 13 家公司发出置评请求，回应全文收在报告的 Correspondence 一节。据报告，披露后真正行动的只有五家：Google 参与了调查，随后与 IAB Europe 一起把 Discover-Tech 移出供应商注册表，并终止其对广告交易平台的访问；Beeswax 将其移出广告购买平台；Vungle（Liftoff）暂停访问并启动审查；Eskimi 封禁其账户与域名。其余被牵涉的广告供应商，报告的口径是未在期限内回应置评请求。注意措辞分寸：是「未回应」，不是「拒绝」，本篇不点名谁在装死，但读者自己数一数就清楚了：13 家被问，只有 5 家有动作。

还有一处时间线值得盯：Google 与 IAB Europe 的移除动作发生在 10 月初，而 Google 是「参与调查后」才行动的。也就是说，认证名单的更新不是行业自查的结果，是研究团队把证据递到手上之后才发生的。

评论区怎么说

HN 五百多条评论大致分几派，以下为转述，不代表本篇立场。

机制派在拆解攻击路径。用户 chunkyslink 的总结获得高赞：它从正门进来，被 Google 和 IAB Europe 列为认证供应商六年，广告看着无害，每条里藏着小脚本，渲染时安静回连。用户 reactordev 猜测是把恶意代码藏在图片里进缓存，只需访问一个投放该广告网络的站点。用户 oulipo 补充了定位逻辑：用广告网络圈定个体，再投一条利用漏洞的广告，比如打坏掉的 JPEG 解码器，拿到设备执行权。用户 pelagicAustral 说，「文件格式与情报机构有染」的叙事听着疯狂，但其他零点击攻击确实靠破坏文件解析实现，发条消息不打开也能被黑。

行业批判派声量也大。用户 Lio 转引路透社报道称，Meta 数十亿美元广告收入来自诈骗、非法赌博等违禁内容，美国 ICE 等政府机构也购买过利用广告技术追踪人员行踪的软件，他的结论是：不知道广告拦截器能不能挡住 Controlium，但到今天还允许浏览器里有广告，你就是傻瓜，广告行业整体上相当黑。必须标注：这是评论区转引加个人判断，本篇就只做个记录。

防御有效性一派吵得最细。用户 andunie 认为情况比想象更糟，对方靠漏洞完全控制机器，这时用 Signal 这类隐私信使也没用；他还担心 Google 收紧 Android 侧载防不了这种攻击，反倒可能被用来论证进一步封闭平台。用户 gruez 反驳说侧载限制本意是防社会工程与诈骗，不是防零日漏洞。用户 Cider9986 说「完全没用」不对，雇间谍软件公司比收买内部人或找法官签发令状贵得多，他对 GrapheneOS 设备上的消息隐私有信心，关键看威胁模型。用户 hotelsacher 则冷冷补了一句：Google 只是想保护自己的财产，也就是监视用户一举一动的能力，它自己不需要黑用户，它已经有全部数据。另有用户 room606 和 beel 直接贴出 Citizen Lab 与 Confiant 的原始报告链接，社区共识很清楚：这种量级的事件，读原文比读转述值钱。评论区也有人联想到 Pegasus 那些旧案子，本篇按红线只转述这一句，不做平行论证。

普通用户能做三件事

第一，拦广告。报告判断，鉴于威胁现实存在与大规模定向的证据，当前最可行的保护是防御方在网关层拦截定向广告，这条建议在行业证明能可靠拦截所有 AdFection 式载体之前持续有效。落到个人：浏览器装 uBlock Origin 这类拦截器，路由器层面可以上 Pi-hole 这类方案。评论区 Lio 说的也是同一个口径。

第二，高危人群做设备隔离。报告点名的是新闻机构，还提到国防人员、政治领袖、关键基础设施维护者同样是潜在目标。如果你是记者、维权人士或涉密岗位，把「看网页的机器」和「存敏感资料的机器」物理分开，这就是报告威胁模型下最朴素也最有效的动作了。

第三，少交标识符，少给同意。iOS 关闭「允许 App 请求跟踪」，Android 定期重置广告 ID，对 Cookie 和同意弹窗一律选最严。口径注意：报告证实 ID syncing 和 TCF 同意框架都被用来跨站追踪，但这些动作只能缩小你的画像精度，防不了定向投毒本身，本篇就不夸大它的效果。

结语

分寸声明：本篇不定罪任何一方。「首个公开确认」是 Citizen Lab 的自称口径；Discover-Tech 是以色列公司、半岛电视台是卡塔尔媒体、Candiru 与以色列的关联，全部按报告原文陈述，本篇不做地缘升格；「可能用于大规模跟踪与侦察」保留报告的 likely 限定；半岛电视台设备感染的具体细节报告未公开，本篇不编；评论区观点全部归属评论者。已核验的事实是：Citizen Lab 第 195 号报告于 10 月 15 日发布、40 亿条竞价记录、近 20 万个站点与应用、四家间谍软件相关威胁方名字、2020 到 2026 年的认证名单记录、五家公司的处置动作，均出自报告原文。两个待盯节点：其一，Discover-Tech 或 Candiru（Integrity Labs）是否作出正式回应，目前报告口径是未在期限内回应；其二，是否有监管机构就此立案调查，报告已明确呼吁监管介入。任一发生，即出 v2。

参考来源

• Citizen Lab Report 195《Exposing AdFection》：2026-10-15 发布于 citizenlab.ca，全文直抓，本篇所有硬事实的一手来源
• HN story 50101813：Algolia 数据，10-15T18:43 提交，10-16 上午快照 349▲/506💬，正文用「超 340▲、500 多条评论」口径
• Confiant 配合调查（blog.confiant.com）：与报告同日发布，HN 评论转引，未直接抓取全文，正文只提「同日发布」
• Reuters 关于 Meta 广告收入的报道：评论区用户 Lio 转引，二手来源，正文已标「评论区转引」
• HN 评论池：chunkyslink/reactordev/oulipo/pelagicAustral/Lio/andonie/gruez/Cider9986/hotelsacher/room606/beel 均为评论者自述，正文逐一归属