Citizen lab ontdekt spyware-verspreiding via online advertentienetwerken
Onderzoekers van Citizen Lab hebben de eerste openlijk bevestigde gevallen ontdekt van 'zero-click'-spywareaanvallen die rechtstreeks via gerichte online advertenties werden verspreid. Bij deze methode, die de naam 'AdFection' heeft gekregen, worden advertentienetwerken misbruikt om kwaadaardige software te installeren. Slachtoffers hoeven niet op een link of advertentie te klikken; het openen van een website of app is al genoeg om de infectie te triggeren.
Volgens het onderzoek staat het Israëlische adtech-bedrijf Discover-Tech centraal in de operatie zo meldt ook The Register. Het bedrijf presenteerde zich als een legitieme speler in de advertentiesector, maar fungeerde volgens Citizen Lab in feite als een dekmantel en brug tussen de online advertentie-industrie en diverse spyware- en hackverkopers.Misbruik van real-time bidding
Discover-Tech misbruikte via zijn platform Controlium het zogeheten Real-Time Bidding-systeem (RTB). Binnen dit systeem bieden adverteerders in een fractie van een seconde op advertentieruimte zodra een gebruiker een pagina laadt. Tijdens dat proces ontvangen adverteerders gedetailleerde gegevens over het apparaat en de locatie van de gebruiker. Discover-Tech gebruikte die informatie om specifieke doelwitten te identificeren en hen vervolgens een besmette advertentie te tonen.
Een van de spywareleveranciers die aan de operatie wordt gelinkt is Candiru (tegenwoordig bekend als Integrity Labs). Citizen Lab herleidde aanvallen op ten minste 45 apparaten van medewerkers van nieuwszender Al Jazeera in 2024 en 2025 tot Candiru-spyware die via de advertenties van Discover-Tech werd geleverd.
Jarenlange goedkeuring door Google en IAB Europe
De ontdekking legt grote kwetsbaarheden in het controleproces van de advertentiesector bloot. Discover-Tech kon jarenlang ongestoord opereren omdat het sinds 2020 door Google en IAB Europe werd vermeld als een goedgekeurde leverancier.
Uit analyse van bijna vier miljard geautomatiseerde advertentieveilingen bleek dat advertenties van Discover-Tech tussen maart en juni 2026 te zien waren op meer dan 70.000 mobiele apps en 120.000 websites. Een deel van deze advertenties bereikte netwerken van overheidsinstanties, defensieorganisaties en de NAVO. Hoewel er geen bewijs is gevonden dat die netwerken daadwerkelijk zijn geïnfecteerd, konden de advertenties wel worden gebruikt om apparaten op die netwerken te profileren.
Ingrijpen en structurele fouten
Na de onthullingen door Citizen Lab heeft Google de toegang van Discover-Tech tot zijn advertentiebeurzen per direct beëindigd en het bedrijf van de lijst met goedgekeurde leveranciers geschrapt. Ook IAB Europe en adtech-partijen zoals Beeswax, Vungle en Eskimi hebben inmiddels maatregelen genomen.
Zowel Discover-Tech als Candiru hebben niet gereageerd op verzoeken om commentaar. Volgens de onderzoekers illustreert de zaak een structureel probleem binnen de online advertentiewereld, waar geautomatiseerde systemen onvoldoende in staat zijn gebleken om grootschalig misbruik door commerciële spionagebedrijven tijdig te detecteren of te voorkomen.
