הפרסום הממוקד הפך לכלי ריגול - וזה הרבה יותר מסוכן מעוד פרצת אבטחה
מחקר חדש חשף חיבור מטריד בין שני עולמות שכבר מזמן אוספים כמויות עצומות של מידע על המשתמשים: תעשיית הפרסום הדיגיטלי ותעשיית הרוגלות המסחריות. חוקרים מ-Citizen Lab ומחברת הסייבר Confiant מצאו כי מערכת שנבנתה על ידי החברה הישראלית דיסקבר-טק ניצלה את מנגנוני הפרסום בזמן אמת כדי לאתר אנשים מסוימים ולהעביר לחלקם רוגלה - בלי שהקורבן נדרש ללחוץ על מודעה, לפתוח קישור או להוריד קובץ. לפי Citizen Lab, מדובר בתיעוד הציבורי הראשון של רוגלה מסחרית מסוג zero-click שהופצה באמצעות פרסום ממוקד.
השיטה קיבלה מהחוקרים את השם AdFection, והחידוש שבה אינו רק טכני. מערכות פרסום יודעות כבר שנים לזהות מכשירים, להעריך היכן המשתמש נמצא, ללמוד על הרגלי הגלישה שלו ולהחליט בתוך שברירי שנייה איזו מודעה להציג לו. המחקר מראה שאותה תשתית יכולה לשמש גם בכיוון אחר: במקום לשאול מי עשוי לקנות נעליים או להזמין מלון, אפשר להשתמש במידע כדי לנסות לזהות עיתונאי, עובד ממשל או אדם בחברה מסוימת - ולהחליט אם שווה לנסות לפרוץ למכשיר שלו.
מערכת שנבנתה למיקוד הפכה למערכת איתור
כדי להבין למה זה אפשרי צריך להבין איך פרסום מקוון עובד. כאשר משתמש פותח אתר או אפליקציה, מתחיל לעיתים מכרז אוטומטי המכונה Real-Time Bidding. מערכות פרסום שולחות למפרסמים מידע פסאודונימי על המכשיר והמשתמש, ומציעות להם להתחרות על הצגת מודעה. כל התהליך יכול להסתיים בפחות מעשירית השנייה. המידע הזה נועד במקור לשפר את יעילות הפרסום, אבל הוא גם יוצר שכבת מודיעין עשירה על מי שנמצא בצד השני של המסך.
לפי החוקרים, הפלטפורמה של דיסקבר-טק השתמשה ביכולת הזאת כדי לבצע פרופיילינג ולנסות לחבר בין מזהים דיגיטליים לבין מטרות אמיתיות. רק לאחר שמכשיר מסוים נמצא מתאים, ניתן היה להעביר אליו את שלב התקיפה. ההבדל חשוב: הרשת לא חייבת להפיץ קוד זדוני לכל מי שרואה מודעה. היא יכולה לסנן מיליוני משתמשים, לבחור מספר קטן של מטרות ולהפעיל נגדן את הכלי רק כאשר התנאים מתאימים. זה גם מקשה יותר על חוקרי אבטחה לגלות מה מתרחש.
היקף הפעילות מראה עד כמה גדול "משפך" האיתור הזה יכול להיות. לפי המידע שאספו החוקרים, בין מרץ ליוני 2026 השתתפה דיסקבר-טק בכ-3.7 מיליארד ניסיונות לרכישת שטחי פרסום וזכתה בכ-442 מיליון מהם. המודעות שלה הופיעו ביותר מ-120 אלף אתרים וביותר מ-70 אלף אפליקציות. האתרים והאפליקציות עצמם אינם בהכרח זדוניים - בדיוק להפך. היתרון עבור התוקף הוא היכולת להגיע לקורבן בזמן שהוא משתמש בשירות רגיל ומוכר.
רוגלה ללא לחיצה אינה חדשה - ערוץ ההפצה כן
מתקפות zero-click עצמן מוכרות כבר שנים. ב-2019 נחשפה פרצה בוואטסאפ שאפשרה להחדיר את פגסוס של NSO באמצעות שיחת וואטסאפ, ללא צורך שהקורבן יענה. Citizen Lab מצאה אז יותר מ-100 מקרים של אנשי חברה אזרחית ועיתונאים שהיו בין המטרות ביותר מ-20 מדינות, ובחקירות מאוחרות יותר תוארה המתקפה ככזו שפגעה ביותר מ-1,400 מכשירים בתקופה שבה הופעלה.
אל-ג'זירה עצמה כבר היתה יעד בולט בעבר. ב-2020 חשפה Citizen Lab כי 36 טלפונים אישיים של עיתונאים, מגישים ומנהלים ברשת נפרצו באמצעות KISMET, מתקפת zero-click שפעלה דרך iMessage. שנה לאחר מכן נחשפה FORCEDENTRY, מתקפה נוספת של NSO שניצלה את iMessage והצליחה לעקוף מנגנוני אבטחה שאפל הוסיפה כדי להתמודד עם הדור הקודם של הפרצות.
גם מודעות זדוניות אינן תופעה חדשה. כבר לפני יותר מעשור תועדו קמפיינים שבהם מודעות ברשתות פרסום לגיטימיות הפנו משתמשים ל-exploit kits, ולעיתים היה מספיק לטעון את המודעה כדי לנסות לנצל פרצה במחשב. ב-2015, למשל, תועדה מתקפת malvertising שבה מודעת Flash זדונית הפעילה פרצת zero-day ללא צורך בעמוד נחיתה נפרד. ההבדל במקרה הנוכחי הוא החיבור בין אותה יכולת הפצה רחבה לבין תעשיית רוגלות שמחפשת מטרות ספציפיות ויקרות ערך, ולא מיליוני מחשבים אקראיים לצורך הונאה או כופר.
החולשה נמצאת גם במודל העסקי של הפרסום
במובן הזה, AdFection היא לא רק עוד פרצת אבטחה. היא מדגימה בעיה מבנית במערכת שבה מידע על משתמש נשלח במהירות בין מספר גדול של שחקנים כדי להחליט מי יציג לו מודעה. ככל שהמערכת טובה יותר בזיהוי קהלים מדויקים, כך היא גם יכולה להיות שימושית יותר למי שמחפש אדם מסוים. הכלי שהופך פרסום ליעיל יותר יכול להפוך גם את המעקב למדויק יותר.
- דיווח: חברות ישראליות השתמשו בפרסומות להפצת רוגלה נגד עובדי אל-ג'זירה
- פלוטו סקיוריטי נחשפת עם גיוס של 42 מיליון דולר
העובדה שדיסקבר-טק פעלה בתוך המערכת הלגיטימית מדגישה את הקושי. החברה היתה רשומה כספקית במערכות הפרסום והופיעה ברשימת הספקים של IAB Europe. בעקבות הממצאים גוגל הודיעה שחסמה אותה מפלטפורמות הפרסום שלה, ו-IAB Europe אישרה כי החברה מושעית מרשימת הספקים לאחר שביקורת מצאה הפרות של כללי המסגרת שלה. הארגון הוסיף כי אימות נוסף של הממצאים עשוי להביא להוצאה קבועה של החברה מהרשימה.
החשיפה גם ממחישה מדוע חסימת חברה אחת אינה בהכרח סוף הסיפור. Citizen Lab טוענת שדיסקבר-טק עשויה להיות רק דוגמה ראשונה למודל שבו חברות ריגול מתחברות למערכת הפרסום כדי לקבל גם כלי לאיתור מטרות וגם ערוץ הפצה. מבחינת חברות רוגלה, מדובר בשילוב כמעט אידיאלי: תשתית שכבר מגיעה למיליארדי מכשירים, אוספת נתונים כדי להבדיל בין המשתמשים ומסוגלת להציג תוכן שונה לכל אחד מהם.
במשך שנים התמקד המאבק ברוגלות בשיפור מערכות ההפעלה, סגירת פרצות בוואטסאפ וב-iMessage והגנה על אנשים שנמצאים בסיכון גבוה. המחקר החדש מוסיף שכבה נוספת: גם המערכת שמחליטה איזו מודעה תופיע במסך יכולה להפוך לחלק משרשרת התקיפה. במקרה כזה, הבעיה אינה רק פרצה בתוכנה - אלא תשתית כלכלית שלמה שנבנתה כדי לזהות משתמשים במהירות ובקנה מידה עצום, וכעת מתברר שאפשר לנצל את אותן יכולות גם לצורכי ריגול.
