سوءاستفاده از زیرساخت تبلیغات دیجیتال برای توزیع بدافزارهای جاسوسی بدون کلیک

مقدمه و زمینه

اکوسیستم تبلیغات دیجیتال مدرن بر پایه مزایده‌های آنی و خودکار (Programmatic Auctions) بنا شده است. در کسری از ثانیه، ده‌ها یا صدها شرکت برای نمایش یک تبلیغ به کاربر، روی داده‌های مرور او و پروفایل دستگاهش قیمت می‌گذارند. پژوهش‌های جدید واحد تحقیقاتی Citizen Lab در دانشگاه تورنتو نشان می‌دهد که چگونه بازیگران مخرب توانسته‌اند این زیرساخت پیچیده و تاریک را برای اهداف جاسوسی و تزریق بدافزار تسخیر کنند.

پلتفرم Controlium و مکانیسم حمله

شرکت تبلیغاتی اسرائیلی Discover-Tech با توسعه نرم‌افزاری به نام Controlium، امکان پروفایل‌سازی انبوه و رفع ناشناسی (Deanonymization) کاربران اینترنت را فراهم کرده است. بر اساس گزارش‌ها، این پلتفرم از طریق تبلیغات ظاهراً بی‌خطر (مانند بازی‌های دیجیتال یا خدمات مخابراتی) کار می‌کند:

• جمع‌آوری داده اولیه: هنگامی که کاربر تبلیغ سفارشی را مشاهده می‌کند، هویت و آدرس IP او استخراج می‌شود.
• شناسایی هدف: اگر کاربر در فهرست اهداف مشخص‌شده قرار داشته باشد، بدافزار شرکت‌های مزدور فعال در حوزه جاسوسی وارد عمل می‌شوند.
• عفونت صفر-کلیک (Zero-Click): برخلاف حملات سنتی که نیازمند تعامل کاربر (کلیک روی لینک یا باز کردن فایل) هستند، این بدافزار بدون هیچ‌گونه دخالتی و در چند ثانیه دستگاه را آلوده می‌کند.

مستندات نشان می‌دهد ده‌ها دستگاه متعلق به شبکه رسانه‌ای Al Jazeera و همچنین کاربران نهادهای دولتی، سازمان ملل، ناتو و آژانس بین‌المللی انرژی اتمی در مناطق مختلف جهان هدف این نوع تبلیغات قرار گرفته‌اند.

چرا این مسئله برای مهندسان نرم‌افزار و امنیت مهم است؟

این کشف نشان می‌دهد که لایه‌های پنهان فناوری‌های تبلیغاتی (Ad Tech) فراتر از مسائل حریم خصوصی، یک تهدید جدی امنیتی برای زیرساخت‌های حیاتی و افراد هستند. ابزارهای جاسوسی منسوب به این پلتفرم دسترسی کامل به دستگاه قربانی شامل پیام‌ها، ایمیل‌ها، عکس‌ها و فعال‌سازی پنهانی میکروفون را فراهم می‌کنند.

نکته نگران‌کننده برای جامعه مهندسی نرم‌افزار و امنیت این است که شبکه‌های بزرگ تبلیغاتی و سازمان‌های متولی نتوانسته‌اند این عملیات‌های مخرب را طی سال‌های گذشته شناسایی یا متوقف کنند. این نقص سیستمی نشان می‌دهد که مهندسی امنیت وب و استانداردهای پلتفرم‌های تبلیغاتی نیازمند بازنگری بنیادین و نظارت دقیق‌تری از سوی نهادهای رگولاتوری است.