دستگاه‌ها را می‌توان از طریق آگهی‌های تبلیغاتی، بدون نیاز به کلیک، هک کرد
اینگو داخویتس و سباستیان ماینک
نتس‌پولیتیک
ترجمهٔ مجلهٔ جنوب جهانی
در یک نگاه: پژوهشی از آزمایشگاه سیتیزن دانشگاه تورنتو نشان می‌دهد که زیرساخت تبلیغات آنلاین می‌تواند به ابزاری برای نفوذ مخفیانه به دستگاه‌های الکترونیکی و توزیع بدافزارهای جاسوسی دولتی تبدیل شود. شرکت اسرائیلی دیسکاور-تک، بنا بر یافته‌های این پژوهش، احتمالاً با بهره‌گیری از سازوکار مزایدهٔ تبلیغات آنلاین و پلتفرمی به نام «کنترولیوم»، امکان هدف‌گیری دستگاه‌های مشخص و آلوده‌سازی آن‌ها از طریق آگهی‌های مخرب را برای مشتریان خود فراهم کرده است؛ آن هم بدون اینکه قربانی روی آگهی کلیک کند. این پرونده، افزون بر خطرهای جدی برای روزنامه‌نگاران، مخالفان سیاسی و جامعهٔ مدنی، ضعف ساختاری صنعت تبلیغات دیجیتال و نقش شرکت‌های بزرگ فناوری در ایجاد و تداوم این مخاطرات را آشکار می‌کند.
ماجرا با یک آگهی تبلیغاتی آغاز می‌شود که کاملاً بی‌خطر به نظر می‌رسد؛ برای مثال، پیشنهادی برای خرید هدفون بی‌سیم با عبارت «حراج». چنین آگهی‌هایی مدت‌هاست به بخشی عادی از فضای برنامه‌ها و وب‌سایت‌هایی تبدیل شده‌اند که از طریق تبلیغات تأمین مالی می‌شوند. اما اکنون یک پژوهش نشان می‌دهد که تبلیغات آنلاین بسیار فراتر از ایجاد مزاحمت عمل می‌کنند: آن‌ها می‌توانند امنیت کاربران را به خطر بیندازند.
برای نخستین بار، پژوهشگران فناوری اطلاعات در آزمایشگاه سیتیزن دانشگاه تورنتو توانسته‌اند از نظر فنی نشان دهند که مهاجمان چگونه دستگاه‌ها را از طریق تبلیغات آنلاین هک می‌کنند، بی‌آنکه قربانی حتی یک بار کلیک کند. به محض آنکه یک آگهی مخرب روی صفحهٔ تلفن همراه یا رایانه ظاهر شود، ممکن است دیگر کار از کار گذشته باشد و دستگاه به نرم‌افزار جاسوسی آلوده شود. پژوهشگران این نوع حمله را «اَد‌فکشن» (AdFection) نامیده‌اند؛ واژه‌ای ترکیبی از «اَد» (Ad)، به معنای تبلیغ، و «اینفکشن» (Infection)، به معنای آلودگی.
محور این پژوهش شرکت اسرائیلی دیسکاور-تک (Discover-Tech Ltd.) است. این شرکت ظاهراً سال‌ها خود را به‌عنوان شرکتی بی‌خطر در حوزهٔ فناوری تبلیغات معرفی کرده است. تا همین اواخر، گوگل آن را به‌عنوان یک ارائه‌دهندهٔ خدمات خارجی «تأییدشده» به رسمیت می‌شناخت. بااین‌حال، بنا بر یافته‌های پژوهش، دیسکاور-تک در واقع نقش واسطه‌ای میان اکوسیستم تبلیغات آنلاین و صنعت بدافزارهای جاسوسی دولتی ایفا می‌کرده است.
پژوهشگران آزمایشگاه سیتیزن (سیتیزن لب) با «اطمینان بالا» معتقدند که مهاجمان احتمالاً با کمک دیسکاور-تک، تروجان‌های شرکت کندیرو (Candiru) را از طریق آگهی‌های تبلیغاتی مخرب توزیع کرده‌اند. بر اساس این پژوهش، یکی از اهداف حملات موسوم به «بدون کلیک» (Zero-Click)، چندین دستگاه متعلق به شبکهٔ خبری الجزیره در قطر بوده است. گزارش مربوط به حمله به الجزیره پیش‌تر نیز منتشر شده بود. درخواست اظهارنظر مشترک وب‌سایت نتس‌پولیتیک و شبکهٔ رادیو و تلویزیون باواریا از دیسکاور-تک بی‌پاسخ ماند.
ولفی کریستل، پژوهشگر ردیابی آنلاین در وین و یکی از نویسندگان پژوهش آزمایشگاه سیتیزن، می‌گوید: «تبلیغات آنلاین از کار افتاده است. شیوه‌ای که تبلیغات آنلاین امروزه بر اساس آن عمل می‌کند، به‌خودی‌خود یک خطر امنیتی تمام‌عیار است؛ برای دولت‌ها، بخش خصوصی، جامعهٔ مدنی و همهٔ دیگران.»
شرکتی که در ظاهر هیچ چیز غیرعادی ندارد
دیسکاور-تک در نگاه نخست یکی از هزاران شرکت فعال در صنعت تبلیغات به نظر می‌رسد. این شرکت در وب‌سایت خود از تبلیغات سفارشی، تأثیرگذاری و برندها سخن می‌گوید.
اما مطابق یافته‌های پژوهش، فعالیت دیسکاور-تک ظاهراً فقط در ظاهر به نمایش تبلیغات آنلاین محدود بوده است. این شرکت همچنین پلتفرمی به نام «کنترولیوم» (Controlium) را اداره می‌کرده است. طبق گزارش، این پلتفرم به ارائه‌دهندگان نرم‌افزارهای جاسوسی امکان می‌داده است دستگاه‌های قربانیان را به‌طور هدفمند انتخاب کنند تا هنگام نمایش یک آگهی تبلیغاتی، آن دستگاه‌ها را آلوده سازند.
آزمایشگاه سیتیزن پژوهش خود را بر تحلیل‌های فنی گسترده و بررسی شبکهٔ شرکت‌ها و ارتباطات تجاری پیرامون دیسکاور-تک استوار کرده است. پژوهشگران می‌گویند، از جمله به فایل‌های ثبت وقایع داخلی مربوط به حدود ۳٫۸ میلیارد پیشنهاد شرکت برای خرید جایگاه‌های تبلیغاتی دسترسی یافته‌اند؛ پیشنهادهایی که در صنعت تبلیغات با عنوان «بید» (Bid) شناخته می‌شوند.
پژوهشگران در این بررسی با شرکت کانفیانت (Confiant) همکاری کرده‌اند؛ شرکتی متخصص در مقابله با تقلب در صنعت تبلیغات که به‌طور موازی تحقیقات مستقلی انجام داده و امروز گزارش اختصاصی خود دربارهٔ دیسکاور-تک را نیز منتشر کرده است.
تیم تحقیقاتی نتس‌پولیتیک و شبکهٔ رادیو و تلویزیون باواریا پیش از انتشار، به این پژوهش دسترسی یافته و از مهم‌ترین طرف‌های درگیر خواسته بود دیدگاه خود را دربارهٔ یافته‌ها بیان کنند.
سوءاستفاده از سامانهٔ تبلیغات؛ بدون آنکه قربانیان متوجه شوند
برای درک اینکه دیسکاور-تک چگونه علاوه بر تبلیغات، یک بدافزار جاسوسی دولتی را نیز به دستگاه هدف می‌رسانده است، باید به سازوکار درونی صنعت تبلیغات آنلاین نگاهی انداخت. مطابق پژوهش، دیسکاور-تک از جمله یک پلتفرم سمت تقاضا (Demand-Side Platform یا DSP) در اختیار داشته است؛ پلتفرمی که مشتریان تبلیغاتی از طریق آن می‌توانند آگهی‌های خود را در برنامه‌ها و وب‌سایت‌ها نمایش دهند.
طبق یافته‌های پژوهش، دیسکاور-تک برای اجرای حملات از دو ویژگی جهان تبلیغات آنلاین بهره برده است.
نخست، این شرکت ظاهراً از سازوکار مزایدهٔ بلادرنگ (Real-Time Bidding) سوءاستفاده کرده است. در این سازوکار، جایگاه‌های تبلیغاتی خالی از طریق مزایده به فروش می‌رسند. برنامه‌ها و وب‌سایت‌هایی که از تبلیغات درآمد کسب می‌کنند، برای این منظور در هر بار بازدید، اطلاعات مربوط به کاربران را به شبکه‌ای پیچیده و نامشخص از شرکت‌هایی می‌فرستند که برای خرید جایگاه‌های تبلیغاتی با یکدیگر رقابت می‌کنند.
دیسکاور-تک با استفاده از پلتفرم سمت تقاضای خود در این مزایده‌ها شرکت می‌کرده و به این ترتیب حجم زیادی از داده‌ها را گرد می‌آورده است؛ داده‌هایی که بنا بر گزارش، امکان شناسایی دستگاه‌های متعلق به اهداف احتمالی را فراهم می‌کرده‌اند. از جملهٔ این داده‌ها می‌توان به شناسه‌های تبلیغاتی و نشانی‌های آی‌پی اشاره کرد.
به این ترتیب، داده‌های تبلیغاتی به نوعی فیلتر تبدیل می‌شدند که می‌توانست افراد بالقوهٔ موردنظر را از میان کاربران دیگر جدا کند. بااین‌حال، از بیرون نمی‌توان مشخص کرد که این روش تا چه اندازه در هدف‌گیری دقیق مؤثر بوده و چه میزان خطای هدف‌گیری داشته است؛ یعنی چند نفر از افرادی که ارتباطی با اهداف اصلی نداشته‌اند، ناخواسته در معرض این حملات قرار گرفته‌اند.
دومین ویژگی مورد سوءاستفاده، این واقعیت بوده است که آگهی‌های تبلیغاتی اغلب صرفاً تصویر یا کلیپ ویدئویی نیستند و در بسیاری از موارد می‌توانند کدهای برنامه‌نویسی را نیز اجرا کنند. مجرمان سایبری در حملاتی که «بدتبلیغ‌افزاری» (Malvertising) نامیده می‌شوند، دقیقاً از همین قابلیت برای انتشار گستردهٔ نرم‌افزارهای مخرب بهره می‌گیرند. اما آزمایشگاه سیتیزن در بررسی دیسکاور-تک، روشی را توصیف می‌کند که برای آلوده‌سازی هدفمند دستگاه‌ها به کار گرفته می‌شده است.
بر اساس این گزارش، شرکت پلتفرم «کنترولیوم» را برای همین منظور اداره می‌کرده است. مشتریان از طریق این پلتفرم می‌توانستند دستگاه‌های مشخصی را انتخاب کنند که قرار بود نه‌فقط تبلیغات معمولی آنلاین، بلکه کدهای مخرب نیز دریافت کنند.
وجه خطرناک ماجرا این است که افراد هدف نه مجبور بودند روی آگهی دست‌کاری‌شده کلیک کنند و نه امکان داشت متوجه آلودگی دستگاه خود شوند. افزون بر این، به گفتهٔ آزمایشگاه سیتیزن، برنامه‌ها و وب‌سایت‌هایی که آگهی‌ها در آن‌ها نمایش داده می‌شدند نیز نمی‌توانستند تشخیص دهند که ارائه‌دهندگان تبلیغات دقیقاً چه محتوایی را از طریق آگهی‌هایشان به دستگاه کاربران منتقل می‌کنند.
به گفتهٔ آزمایشگاه سیتیزن، دیسکاور-تک آگهی‌هایی را به تلفن‌های همراه با سیستم‌عامل‌های اندروید و آی‌اواس و نیز رایانه‌ها می‌رسانده است. بااین‌حال، هک دستگاه تنها زمانی امکان‌پذیر است که آسیب‌پذیری قابل بهره‌برداری در آن وجود داشته باشد. طبق گزارش، چنین وضعیتی در مورد دستگاه‌های ویندوزی الجزیره وجود داشته است. پژوهشگران جزئیات بیشتری دربارهٔ اینکه آیا دستگاه‌های اندرویدی و آی‌اواس نیز از این طریق هک شده‌اند یا نه، ارائه نکرده‌اند.
تهدیدی برای روزنامه‌نگاران، مخالفان سیاسی و جامعهٔ مدنی
حتی پیش از انتشار این پژوهش نیز گزارش‌هایی منتشر شده بود که نشان می‌داد سازندگان بدافزارهای جاسوسی دولتی از اکوسیستم تبلیغات آنلاین برای یافتن اهداف خود و هک کردن دستگاه‌ها بدون نیاز به کلیک استفاده می‌کنند.
اینکه یکی از نخستین موارد عمومی و مستند حمله از نوع «اَد‌فکشن» ظاهراً کارکنان رسانه‌ای الجزیره را هدف قرار داده است، خود گویای اهمیت موضوع است.
بارها پیش آمده است که فعالان، مخالفان سیاسی یا روزنامه‌نگاران هدف بدافزارهای جاسوسی دولتی قرار گرفته‌اند. این ابزارها فقط در حکومت‌های اقتدارگرا به کار گرفته نمی‌شوند؛ نهادهای دولتی آلمان و اتحادیهٔ اروپا نیز از آن‌ها استفاده می‌کنند.
شرکت اسرائیلی کندیرو، که بنا بر گزارش، تروجان‌های آن علیه دستگاه‌های شبکهٔ خبری الجزیره به کار گرفته شده‌اند، پیشینه‌ای شناخته‌شده دارد. این بدافزار جاسوسی دولتی، از جمله در دستگاه‌هایی در ازبکستان، عربستان سعودی، اسپانیا، مجارستان، یمن و فلسطین شناسایی شده است.
دانیل فرویند، نمایندهٔ آلمانی پارلمان اروپا از حزب سبزها، نیز هدف حمله‌ای با استفاده از نرم‌افزار کندیرو قرار گرفت؛ حمله‌ای که البته ناموفق ماند. دست‌کم از سال ۲۰۱۸، نهادهای امنیتی آلمان نیز به این نرم‌افزار علاقه نشان داده بودند.
بر اساس گزارشی که روزنامهٔ اسرائیلی هاآرتص در سال ۲۰۲۱ منتشر کرد، آلمان حتی در فهرست مشتریان این شرکت قرار داشت. دولت آلمان حاضر نشد دربارهٔ این موضوع توضیحی ارائه کند.
در سال ۲۰۲۱، دولت ایالات متحده شرکت کندیرو را به دلیل فعالیت‌های جاسوسی‌اش در فهرست محدودیت‌های صادراتی شرکت‌های دخیل در فعالیت‌های سایبری مخرب قرار داد. این شرکت در سال ۲۰۲۵ به شرکت سرمایه‌گذاری آمریکایی اینتگریتی پارتنرز فروخته شد. کندیرو نیز به درخواست اظهارنظر نتس‌پولیتیک و شبکهٔ رادیو و تلویزیون باواریا پاسخی نداد.
نمایش تبلیغات در برنامه‌های پرطرفدار
پژوهشگران آزمایشگاه سیتیزن فایل‌های ثبت وقایع داخلی مربوط به پیشنهادهای دیسکاور-تک برای خرید جایگاه‌های تبلیغاتی را بررسی کرده‌اند. این داده‌ها به آن‌ها امکان داده است برآوردهای کلی‌ای دربارهٔ گسترهٔ فعالیت‌های شرکت و اهداف احتمالی آن انجام دهند.
طبق گزارش، پلتفرم تبلیغاتی خود دیسکاور-تک در فاصلهٔ مارس تا ژوئن ۲۰۲۶، نزدیک به چهار میلیارد بار در مزایده‌های خرید جایگاه‌های تبلیغاتی آنلاین شرکت کرده و داده‌های مربوط به آن‌ها را پردازش کرده است. این رقم معادل چند صد پیشنهاد در هر ثانیه است و بنا بر پژوهش، تنها بخشی از فعالیت‌های دیسکاور-تک در این دوره را نشان می‌دهد.
بر اساس این داده‌ها، حدود سه‌چهارم پیشنهادها به خرید جایگاه‌های تبلیغاتی در برنامه‌های تلفن همراه مربوط بوده و نزدیک به یک‌چهارم آن‌ها به جایگاه‌های تبلیغاتی در مرورگرها اختصاص داشته است. پژوهشگران در مجموع داده‌های مربوط به پیشنهادهای خرید جایگاه‌های تبلیغاتی را در حدود ۷۰ هزار برنامه و نزدیک به ۱۲۰ هزار وب‌سایت شمارش کرده‌اند. نتس‌پولیتیک نتوانسته است این ارقام را مستقلاً راستی‌آزمایی کند.
گزارش به چند برنامهٔ شناخته‌شده اشاره می‌کند که احتمال می‌رود تبلیغات آلودهٔ دیسکاور-تک از طریق آن‌ها نمایش داده شده باشد. از جملهٔ این برنامه‌ها می‌توان به اپلیکیشن هواشناسی «وِتِر آنلاین» (Wetter Online) مستقر در آلمان، برنامه‌های دوست‌یابی «گرایندر» (Grindr) و «بادو» (Badoo)، اپلیکیشن آموزش زبان «دولینگو» (Duolingo) و پیام‌رسان «وایبر» (Viber) اشاره کرد.
ما از بخش‌های روابط عمومی این برنامه‌ها پرسیدیم که آیا از احتمال حملات مبتنی بر تبلیغات آگاه بوده‌اند و در واکنش به این خطر چه اقداماتی انجام خواهند داد. پاسخی دریافت نکردیم. نام دیسکاور-تک تا فوریهٔ ۲۰۲۵ در سیاست حفظ حریم خصوصی وِتِر آنلاین به‌عنوان یکی از بیش از ۸۰۰ شریک تبلیغاتی آن شرکت درج شده بود.
دسترسی ارزشمند به تلفن‌های همراه در سراسر جهان
تبلیغ‌دهندگان معمولاً امیدوارند آگهی‌هایشان مردم را به خرید کالا یا دانلود یک برنامه ترغیب کند. بااین‌حال، پژوهشگران طبق یافته‌های خود شواهد چندانی از چنین موفقیت‌های تبلیغاتی یا اهداف مشابه در داده‌های بررسی‌شده نیافته‌اند. ازاین‌رو، به باور آن‌ها، شواهد قابل اتکایی در دست نیست که نشان دهد این شرکت از طریق نمایش آگهی‌های تبلیغاتی درآمد کسب می‌کرده است.
اما مشارکت در بازار جهانی تبلیغات، دسترسی ارزشمندی به تلفن‌های همراه در سراسر جهان در اختیار شرکتی مانند دیسکاور-تک قرار می‌دهد؛ دسترسی‌ای که شامل دستگاه‌های بالقوهٔ هدف نیز می‌شود و مشتریان پول‌پرداز می‌توانند از طریق بدافزارهای جاسوسی دولتی به آن‌ها نفوذ کنند.
بر اساس گزارش، آگهی‌های دیسکاور-تک حتی روی دستگاه‌هایی نمایش داده شده‌اند که به شبکه‌های حساس از نظر امنیتی در نقاط مختلف جهان متصل بوده‌اند.
در گزارش آمده است: «این شبکه‌ها شامل شبکه‌های وزارتخانه‌های دفاع مختلف، نیروهای مسلح، نهادهای ملی امنیت سایبری، سازمان‌های بین‌دولتی از جمله ناتو و نیز شبکه‌های مرتبط با زیرساخت‌های حیاتی هستند.»
نهادهای دولتی کشورهای اروپایی مانند نروژ، سوئد و دانمارک و همچنین اسرائیل، روسیه و ایالات متحده نیز در میان موارد تحت تأثیر قرارگرفته قرار داشته‌اند.
حتی اگر نمایش آگهی‌های مورد اشاره به آلودگی دستگاه‌ها منجر نشده باشد، به گفتهٔ پژوهشگران، دست‌کم امکان گردآوری داده‌ها و ایجاد پروفایل از کاربران را فراهم می‌کرده است.
پژوهشگران همچنین با تکیه بر مشاهدات فنی دیگری توانسته‌اند مشخص کنند که داده‌های حاصل از مزایده‌های تبلیغاتی ظاهراً نشان می‌دهند کدام کشورها بیش از دیگران هدف قرار گرفته‌اند. اگر این کشورها را با توجه به جمعیتشان رتبه‌بندی کنیم، در دورهٔ مورد بررسی مونته‌نگرو، یمن، ارمنستان، لتونی و سیشل در صدر قرار می‌گیرند.
پیوندهای گسترده با صنعت تبلیغات دیجیتال
به گفتهٔ آزمایشگاه سیتیزن، دیسکاور-تک تا همین اواخر نه‌تنها با شمار زیادی از فعالان صنعت نظارت و جاسوسی ارتباطات نزدیکی داشته، بلکه یکی از بازیگران تثبیت‌شدهٔ صنعت تبلیغات آنلاین نیز بوده است.
گوگل احتمالاً نقشی محوری در این میان داشته است؛ شرکتی که از جمله از طریق بازار تبلیغاتی خود، زیرساخت مهمی برای این صنعت فراهم می‌کند. شرکت اسرائیلی دیسکاور-تک در سامانه‌های گوگل به‌عنوان ارائه‌دهندهٔ خدمات خارجی (External Vendor) و ارائه‌دهندهٔ فناوری تبلیغات (Ad Technology Provider) ثبت شده بود.
بر اساس گزارش، این وضعیت به دیسکاور-تک امکان می‌داد آگهی‌ها را از طریق پلتفرم «اد منیجر» گوگل نمایش دهد و از طریق گوگل به داده‌های کاربران برنامه‌ها و وب‌سایت‌ها دسترسی پیدا کند.
گوگل می‌گوید پیش از اتصال شرکت‌ها به سامانه‌های خود، آن‌ها را بررسی می‌کند و از ارائه‌دهندگان خارجی با عنوان «تأییدشده» نام می‌برد. اما به گفتهٔ آزمایشگاه سیتیزن، این عنوان‌ها نه‌تنها به دیسکاور-تک در دسترسی به داده‌ها کمک کرده‌اند، بلکه به این شرکت امکان داده‌اند خود را یک کسب‌وکار تبلیغاتی قانونی و معتبر جلوه دهد.
پس از آنکه پژوهشگران یافته‌های خود را به اطلاع گوگل رساندند، دیسکاور-تک این جایگاه را از دست داد.
بخش روابط عمومی گوگل در پاسخ به پرسش‌ها تأیید کرد: «دیسکاور-تک را به دلیل نقض نظام‌مند سیاست‌هایمان از پلتفرم‌های تبلیغاتی خود کنار گذاشته‌ایم.»
دیسکاور-تک تا همین اواخر در انجمن اروپایی صنعت تبلیغات دیجیتال، یعنی آی‌ای‌بی اروپا (IAB Europe)، نیز جایگاه یک ارائه‌دهندهٔ خدمات «تأییدشده» را داشت.
این سازمان از طریق چارچوبی موسوم به «چارچوب شفافیت و رضایت» (Transparency and Consent Framework)، استاندارد فنی مورد استفاده برای دریافت رضایت کاربران نسبت به ردیابی تبلیغاتی در اروپا را تعیین می‌کند.
بر اساس گزارش، ثبت نام دیسکاور-تک در فهرست این سازمان به شرکت کمک کرده بود خدمات خود را سازگار با مقررات عمومی حفاظت از داده‌های اتحادیهٔ اروپا (GDPR) معرفی کند.
آی‌ای‌بی اروپا در پاسخ به پرسش‌ها تأیید کرد که پس از انجام ممیزی، فعالیت دیسکاور-تک را تعلیق کرده است. بااین‌حال، این سازمان تأکید کرد که «نه برای انجام تحقیقات جرم‌شناختی یا جنایی تجهیز شده است و نه چنین مأموریتی بر عهده دارد».
گفته می‌شود دیسکاور-تک آگهی‌های خود را از طریق پلتفرم‌های شرکت‌های دیگری مانند اسکیمی (Eskimi) مستقر در لیتوانی و بیزوکس (Beeswax)، متعلق به شرکت آمریکایی مخابراتی کامکست (Comcast)، نیز نمایش داده است. پژوهشگران نتوانسته‌اند بررسی کنند که آیا از این طریق نیز تبلیغات آلوده توزیع شده‌اند یا خیر.
اسکیمی در پاسخ به پرسش نتس‌پولیتیک و شبکهٔ رادیو و تلویزیون باواریا تأیید کرد که دیسکاور-تک از سال ۲۰۲۲ به پلتفرم تبلیغاتی این شرکت متصل بوده است. بااین‌حال، حجم فعالیت آن تنها چند صد دلار بوده است.
ویتاس پاکوستیس، مدیر اسکیمی، می‌نویسد: «به محض آنکه الگوی رفتاری تبلیغ‌دهنده در کلیت خود برای ما آشکار شد، تمام حساب‌ها، کاربران و دامنه‌های مرتبط با او را برای همیشه مسدود کردیم.»
به گفتهٔ این شرکت، آخرین کارزار تبلیغاتی دیسکاور-تک در ۶ اوت به پایان رسیده است.
بیزوکس تاکنون به درخواست اظهارنظر رسانه‌ها پاسخی نداده است.
«فاجعه‌بار است»
افشاگری‌های آزمایشگاه سیتیزن شاهد دیگری است بر اینکه اکوسیستم تبلیغات آنلاین در شکل کنونی خود خطری جدی ایجاد می‌کند؛ خطری نه‌فقط برای حریم خصوصی همهٔ کاربران اینترنت، بلکه برای امنیت افراد و دولت‌ها.
شرکت‌های خصوصی برای امکان نمایش تبلیغات هدفمند، احتمالاً بزرگ‌ترین دستگاه نظارتی تاریخ بشر را ایجاد کرده‌اند. مدل کسب‌وکار آن‌ها بر ثبت و تحلیل هرچه فراگیرتر رفتار انسان‌ها در قالب داده استوار است.
از سال ۲۰۲۴ به این سو، از جمله تحقیقات نتس‌پولیتیک و شبکهٔ رادیو و تلویزیون باواریا نشان داده‌اند که این داده‌ها مدت‌هاست صرفاً برای اهداف تبلیغاتی به کار نمی‌روند.
پرونده‌های کارگزاران داده (Databroker Files) فاش کرده‌اند که معامله‌گران داده، از جمله اطلاعات مکانی با دقت چند متر را می‌فروشند؛ داده‌هایی که بنا بر ادعا، برنامه‌های محبوب تلفن همراه صرفاً برای اهداف تبلیغاتی گردآوری می‌کنند.
برخی شرکت‌های نظارتی تخصص خود را بر آماده‌سازی و پردازش این داده‌ها و دیگر اطلاعات حاصل از صنعت تبلیغات آنلاین برای مشتریان دولتی متمرکز کرده‌اند؛ مشتریانی مانند سازمان‌های اطلاعاتی و نهادهای امنیتی.
اصطلاح تخصصی این حوزه «اَدینت» (ADINT)، مخفف «اطلاعات‌گیری مبتنی بر تبلیغات» (Advertising-based Intelligence)، است. پژوهش تازهٔ آزمایشگاه سیتیزن اکنون نشان می‌دهد که تبلیغات آنلاین نه‌تنها برای نظارت غیرفعال، مثلاً از سوی سازمان‌های اطلاعاتی، بلکه برای حملات فعال علیه دستگاه‌ها نیز قابل استفاده است.
ولفی کریستل، از نویسندگان مشترک پژوهش، در ارزیابی یافته‌ها می‌گوید: «اینکه شرکت‌ها و سازمان‌های بزرگ فعال در صنعت تبلیغات آنلاین ظاهراً سال‌ها قادر نبوده‌اند از این فعالیت‌های تبلیغاتی مخرب جلوگیری کنند یا حتی آن‌ها را تشخیص دهند، فاجعه‌بار است.»
او می‌افزاید: «نهادهای ناظر، از حوزهٔ امنیت سایبری گرفته تا حفاظت از داده‌ها، و همچنین سیاست‌گذاران در اروپا، ایالات متحده و دیگر مناطق، باید فوراً دست به اقدام بزنند.»
کریستل سه سال پیش، در نوامبر ۲۰۲۳، همراه با اتحادیهٔ آزادی‌های مدنی ایرلند در گزارشی نسبت به صنعت مهارنشدهٔ تبلیغات آنلاین هشدار داده و آن را «بحران امنیتی پنهان اروپا» نامیده بود.
دفاع از خود با مسدودکننده‌های تبلیغات
کریستل اکنون می‌نویسد: «محافظت قابل اعتماد از خود در برابر آگهی‌های تبلیغاتی مخرب دشوار است؛ اگر نگوییم تقریباً ناممکن.»
او اضافه می‌کند: «پژوهش ما بار دیگر تأیید می‌کند که مسدود کردن تبلیغات آنلاین برای امنیت فناوری اطلاعات امری ضروری است.»
گزارش برای کاهش فوری خطر، به‌ویژه به نهادهای امنیتی و همهٔ مسئولان امنیت فناوری اطلاعات توصیه می‌کند تا حد امکان نمایش آگهی‌های تبلیغاتی آنلاین را مسدود کنند. در دستگاه‌های کاری باید در همه‌جا از مسدودکننده‌های تبلیغات و مرورگرهایی استفاده شود که تا حد امکان ردیابی کمتری انجام می‌دهند.
پژوهشگران همچنین به کاربران عادی توصیه می‌کنند از مسدودکننده‌های تبلیغات در مرورگرهای خود و در صورت امکان از ابزارهای مسدودسازی در سطح شبکه استفاده کنند.
ادارهٔ فدرال حفاظت از قانون اساسی آلمان (BfV)، در پاسخ به پرسش‌های نتس‌پولیتیک و شبکهٔ رادیو و تلویزیون باواریا، اعلام کرد که از امکان «آلوده‌سازی» دستگاه‌ها از طریق تبلیغات آنلاین، بدون نیاز به کلیک بیشتر، آگاه است.
این سازمان اطلاعاتی داخلی آلمان در ادامه نوشت: «از آنجا که خطرات مربوط به حریم خصوصی و امنیت داده‌ها در هر نوع استفاده از خدمات آنلاین وجود دارد، از دیدگاه ادارهٔ فدرال حفاظت از قانون اساسی، هر فردی باید با این موضوع آشنا شود، رفتار خود در استفاده از خدمات آنلاین را به‌طور انتقادی بررسی کند و در صورت لزوم آن را تغییر دهد.»
بااین‌حال، پژوهشگران آزمایشگاه سیتیزن (سیتیزن لب)خواستار راه‌حل‌های سیاسی نیز هستند. به اعتقاد آنان، نهادهای ناظر باید بی‌درنگ تحقیقاتی را دربارهٔ مسئلهٔ اَد‌فکشن آغاز کنند و به‌ویژه شرکت‌های نام‌برده را زیر ذره‌بین قرار دهند. آن‌ها همچنین باید کل اکوسیستم تبلیغات دیجیتال را بررسی و قوانین موجود، از جمله قوانین مربوط به حفاظت از داده‌ها، را اجرا کنند.
پژوهشگران، احتمالاً با آگاهی از اینکه نهادهای امنیتی نیز ممکن است به اَد‌فکشن به‌عنوان ابزاری برای زرادخانهٔ جنگ‌افزارهای سایبری خود علاقه‌مند باشند، خواستار محکومیت و طرد هرچه گسترده‌تر این روش حمله شده‌اند.
در گزارش آمده است: «این اقدامات می‌تواند شامل اعمال تحریم‌ها (…) علیه شرکت‌هایی باشد که از نرم‌افزارهای جاسوسی استفاده می‌کنند و جاسوسی را از طریق تبلیغات هدفمند انجام می‌دهند؛ همچنین علیه شرکت‌هایی که چنین فعالیت‌هایی را ممکن می‌سازند و افرادی که در حوزهٔ اَد‌فکشن فعالیت می‌کنند.»
پژوهشگران، ارائه‌دهندگان زیرساخت صنعت تبلیغات، از جمله گوگل و آی‌ای‌بی اروپا، را نیز مسئول می‌دانند. این شرکت‌ها و سازمان‌ها باید سرانجام در برابر سوءاستفاده از تبلیغات آنلاین اقدام جدی انجام دهند.
این اقدامات باید شامل بررسی مستقل آگهی‌ها برای شناسایی محتوای خطرناک و به‌اشتراک‌گذاری داده‌ها با پژوهشگران امنیت فناوری اطلاعات باشد. همچنین شرکت‌های تبلیغاتی‌ای که به‌عنوان شرکای تأییدشده معرفی می‌شوند، باید به‌طور منظم مورد ارزیابی قرار گیرند.
به‌روزرسانی، ۱۶ اکتبر، ساعت ۱۲: پاراگرافی به مقاله افزوده‌ایم که توضیح می‌دهد هک تنها در صورت وجود آسیب‌پذیری‌های قابل بهره‌برداری امکان‌پذیر است. همچنین، چون تأکید بر تلفن‌های همراه می‌توانست گمراه‌کننده باشد، در عنوان و متن معرفی مقاله واژهٔ «تلفن همراه» را با «دستگاه» جایگزین کردیم و تصویر مقاله را تغییر دادیم.