編按：本文綜合整理自 Citizen Lab（多倫多大學公民實驗室）10 月 15 日原始研究報告、Confiant 同步釋出的產業調查、The Guardian / The Verge / Ars Technica 主流外電追蹤，並加入 Siami 編輯部觀點。這是史上第一次有公開技術證據，確認「零點擊傭兵間諜軟體」可以透過普通的線上廣告遞送——而且廣告買家本身就是以色列的「Discover-Tech」，公開身份是合法廣告商，實際上是 Candiru、Intelos、Bindecy 等多家傭兵間諜公司的中間人。
一、報告核心結論：四大項歷史級發現
Citizen Lab 10 月 15 日發布的 Exposing AdFection 是這幾年最重的一份，因為它把過往各自獨立的兩條故事線——廣告科技（AdTech）跟傭兵間諜軟體（Mercenary Spyware）——第一次綁在同一條技術因果鏈上。核心發現有四：
- 史上首例「零點擊」傭兵間諜軟體透過標的式廣告遞送，Citizen Lab 命名為「AdFection」。Al Jazeera 記者手機在完全沒點任何東西的情況下，被 Candiru（已改名「Integrity Labs」）的間諜軟體植入。
- 以色列公司 Discover-Tech 是這條整條管的關鍵中間人。對外自稱合法廣告商，實際上是多家傭兵間諜公司的外包商，營運一個叫 Controlium 的自動化平台，能在被投放的瞬間完成「去匿名化、指紋辨識、感染裝置」三件事。
- 規模遠超想像：四個月內 Discover-Tech 投過約 40 億次 bid、廣告出現在近 20 萬個網站與 iOS/Android app 之上、橫跨數十國。數百萬裝置在不知情的狀態下被「預掃」以利後續伺機感染。
- 還有一個 Citizen Lab 暫時命名為「DARK CARTOGRAPHER」的第二個攻擊者，透過 Discover-Tech 的基礎設施攻破多家行動電信商，把裝置廣告 ID 跟電話號碼綁在一起，做到大規模去匿名化（mass deanonymization）。Citizen Lab 表示會在另一份報告獨立揭露。
Google、IAB Europe、Beeswax、Vungle（Liftoff）、Eskimi 在收到 Citizen Lab 通知後已採取行動切斷 Discover-Tech 的存取權。Confiant 同步釋出產業端的獨立調查。
二、AdFection 是什麼？為什麼跟過去的 Pegasus 攻擊不一樣？
過去的「傭兵間諜軟體」攻擊鏈大致是這樣：受害者收到一條 SMS 或 iMessage、點進去看似正常但其實藏了零點擊漏洞的訊息，背景就把 Pegasus 或 Predator 推進手機。這條鏈的瓶頸是「需要一個送訊息的接觸點」——受害者得看到那則訊息。
AdFection 打破這個瓶頸。
AdFection 報導引述了公民實驗室的原話：「這是第一次公開的技術確認，傭兵間諜軟體可以透過標的式線上廣告遞送。」
技術鏈是這樣的：
- 去匿名化階段：Discover-Tech 透過 Controlium 平台與廣告生態系的 RTB（Real-Time Bidding）協議，在每次廣告競價時取得裝置的 IP、廣告 ID、地理位置、app/網站資訊。這套資料已經夠把一群「Al Jazeera 員工」從幾百萬人中縮小到幾十人。
- 預掃階段：中標的廣告被遞送到目標裝置的那一瞬間，廣告夾帶的 JavaScript 會偷偷把 Candiru 的探針送進 Candiru 的 profiling server，先確認「這台裝置值不值得打」。
- 零點擊感染階段：當目標裝置的指紋畫面（瀏覽器、OS、app 版本）落入 Candiru 已知漏洞的清單，廣告渲染的那一瞬間，漏洞就會觸發、間諜軟體就進到裝置裡，全程不需要受害者點任何東西。
這個鏈把過去需要「SMS + 漏洞 + 點擊」三件事壓縮成「一次廣告渲染」。對任何有 RTB 廣告出現在裝置上的 app 跟網站都有效——包括公部門、歐盟、北約、聯合國、各國政府、半導體公司、主流媒體。
三、Discover-Tech 是誰？怎麼把自己洗成合法廣告商？
Citizen Lab 從幾個面向拆解 Discover-Tech：
- Adtech with a background in Spytech：Discover-Tech 的 CTO 跟核心工程師有 Radware（以色列網路安全公司）、Innovid、MediaOcean 的經歷。MyDSP 廣告平台的程式碼跟 Spytech 概念中的拼裝非常像。
- 「認證」與「合規」標籤：Discover-Tech 出現在 Google 跟 IAB Europe 的「certified vendors」清單上——這兩個是廣告產業最常被引用來背書的「安全廠商名單」。事後證明這兩個名單的認證流程基本上就是「自己勾選線上表單」沒做實質查核。
- 借 GDPR 合規框架滲透歐盟：Discover-Tech 利用歐盟同意管理平台（CMP）來「合規地」對歐盟用戶做標的式投放——把 GDPR 的同意機制倒過來用於不是藏匿而是放大追蹤。
- 複雜的母子與合資結構：Discover-Tech 跟 Adtimizer、MyIPInfo、Akedo、Volasim 等十幾個殼公司糾結，公司登記地奧查不透明、董事重疊，讓外部稽核幾乎不可能。
而 Discover-Tech 的客戶名單，Citizen Lab 列出了至少四家具名公司：
| 客戶 | 性質 | 與 Discover-Tech 的關係 |
|---|---|---|
| Candiru / Integrity Labs | 以色列傭兵間諜軟體商，2025 被 Integrity Partners 收購 | 用 Discover-Tech 的廣告做 Candiru 的 profiling 與零點擊遞送 |
| Intelos | ADINT 業者 | 與 Discover-Tech 共享 infrastructure |
| Bindecy | 傭兵間諜軟體商 | 透過 Discover-Tech 取得受害者指紋畫面 |
| DARK CARTOGRAPHER | Citizen Lab 暫稱，與多國電信商合作 | 利用 Discover-Tech 基礎設施做 mass deanonymization |
四、「ADINT」這個產業被揭開了
AdFection 報告最重要的延伸貢獻，是把「ADINT」（Advertising Intelligence）這個黑話正式帶進主流討論。ADINT 是指「用廣告科技基礎設施做情報工作」，過去 NSA、NSO、Cognyte 等都被爆料有 ADINT 計畫，但從來沒有公開的技術細節。
AdFection 報告引用的 404 Privacy 部落格：「以色列利用廣告拍賣的鎖標，同時整合幾個月的新聞受眾名單，幾乎可以準確找出特定編輯、記者、消息人士的家用位置。」
國際記者聯盟（RSF）在 AdFection 報導發布同日也發出警告：「ADINT 對記者的攻擊機制被技術系統證明，新聞自由正面對新一波結構性威脅。」
這不只是「以色列的問題」。任何在 RTB 體系有存取的政府機構或承包商，理論上都可以走 Discover-Tech 這種模式——只要你能在 RTB 拍賣裡把「這個 IP 看到 AdFection 廣告」這條事件留下來。
五、廣告產業被點名：Google、IAB Europe、Beeswax、Microsoft
報告直接點名以下公司或組織：
- Google：Discover-Tech 透過 Google 的 Authorized Buyers 取得出價權。Google 事後已切斷 Discover-Tech 存取。
- IAB Europe：歐洲廣告產業最大的自律組織，Discover-Tech 出現在其供應鏈透明標準的 vendor registry 內。IAB Europe 也已撤銷 Discover-Tech 認證。
- Beeswax（Comcast 旗下）：曾經為 Discover-Tech 提供 Real-Time Bidding 服務，已停止。
- Microsoft Advertising（前身 Xandr）：出現在 Discover-Tech 的上游 SSP 清單中。
- Yandex（俄屬性）：出現在 Discover-Tech 的上游清單中。
- Vungle / Liftoff：SSP / Ad Exchange 已切斷。
- Eskimi（立陶宛白牌 DSP）：已切斷。
- Sunteng（中國 SSP / DSP / Ad Exchange）：未在報告截止前回應。
廣告產業的「認證」、「合規」、「vendor registry」是這次事件最受質疑的環節。Citizen Lab 援引了 Stanford Law Review 的研究：「廣告供應鏈的認證流程，目前只是 vendor 自己在線上表單勾選，沒有實質查核。」
六、為什麼這件事重要
這份 AdFection 報告之所以不只是「又一則資安事件」，而是「結構性警報」，是因為它把五個原本各自獨立的問題綁在一起：
- 廣告科技（AdTech） 是網際網路 (Web) 最深的基礎設施。幾乎所有免費 app 跟網站都依賴它，它接觸到每個使用者的位置、IP、裝置、興趣。
- 傭兵間諜軟體產業 是近十年對公民社會最大的威脅之一，從 Pegasus 到 Predator 都是遍地的，但之前需要 SMS、社交工程或零點擊訊息。
- ADINT（廣告情報） 把前兩者融合，創造了一條「自動化、無接觸、可大規模」的間諜部署管線。
- 廣告產業的認證流程 目前只是自我詢問，可被任何有心的廠商輕易濫用。
- 跨國執法的盲區。Discover-Tech 的殼公司分佈在以色列、賽普勒斯、阿根廷、英屬維京群島等多地，這種結晶的法人結構對調查和究責形成極大障礙。
當這五件事碰在一起，「線上廣告」就不再只是商業問題，而是國家安全、媒體自由、隱私保護的結構性危機。RSF、CPJ、Article 19 等組織同步發出警報並非偶然。
七、質疑與反思：真的有那麼糟嗎？
幾個常被拿出來質疑的點：
- 「零點擊機制到底怎麼運作的，報告沒講清楚」：HN 上有 13 年經驗的 AdTech 工程師 Postosuchus 質疑 Citizen Lab 把「零點擊」過度聳動化，認為報告的弱點在於沒解釋「廣告渲染的那一瞬間，漏洞是怎麼觸發的」。這個質疑合理——Citizen Lab 確實沒釋出 technical exploit details（這也是負責任的做法），但報告釋出的 NOAS server 結構、bid log 樣本、Controlium 後台截圖，足以讓獨立的 Confiant 同步復現這個攻擊鏈。
- 「為什麼公民實驗室要把矛頭對準廣告產業？」：廣告產業是「系統性失敗」而不是「個別廠商過失」。單獨懲罰 Discover-Tech 沒有用，因為換個殼公司再來一次的成本極低。必須從認證流程、bid 透明、供應鏈查核等基礎設施面下手。
- 「這是不是只關以色列的事？」：HELP。美國參議員 Schakowsky、Eshoo 等早已提出 Banning Surveillance Advertising Act，理由跟 AdFection 一樣——廣告拍賣的個人化追蹤本身就是結構性風險。AdFection 只是把這個風險變成已實現的攻擊。
- 「受害者只有 Al Jazeera 嗎？」：報告的 bid log 顯示 Discover-Tech 的廣告接觸過 NATO、聯合國、歐盟、丹麥、挪威、瑞典、澳洲政府、半導體公司、主流媒體等。但「接觸過」跟「被感染」是兩回事，Citizen Lab 目前只技術確認 Al Jazeera 一例。其他機構是否遭殃，Citizen Lab 表示會在後續揭露。
八、給工程團隊、媒體、CISO 的 checklist
把 AdFection 報告的建議濃縮成可行動的清單：
工程團隊 / 一般使用者：
- 政府、半導體、媒體裝置強制啟用廣告阻擋。美國 NSA 在 2019 年就釋出 Blocking Unnecessary Advertising Web Content 指南，明確建議公部門裝置阻擋廣告。AdFection 等於把這條建議從「減少追蹤」升級成「擋下零點擊攻擊」。
- 使用 Consumer Reports Security Planner 與 EFF Surveillance Self-Defense 的工具包，禁用行動裝置的廣告 ID（iOS 的「允許追踪」、Android 的「重置廣告 ID」）。
- 網站 / app 主人將自家廣告供應鏈全面審視。. Multiparty Supply 後再 Multiparty。
CISO / 企業 IT：
- 立即檢查 SIEM 是否有 mtrtb / cplatform / powerium 等 NOAS 指標的 DNS 查詢。Citizen Lab 釋出的 NOAS domain 清單見 Appendix C。
- 評估是否要從高風險裝置（執行長、記者、外部聯絡窗口）下手，禁用程式化廣告。最簡單做法是在公司裝置強制安裝企業版廣告阻擋（如 uBlock Origin 企業部署）。
- 建立 bid log 監控。如果有自家網站或 app 賣廣告，請 SSP / DSP 提供 bid log 並定期審計 NOAS / powerium / cplatform 等可疑 bidder。
- 保險條款重新檢視。現有 cyber insurance 對「透過 ad 程式網路遞送的零點擊攻擊」多半沒定義理賠觸發條件。
媒體 / 記者：
- 參考 CPJ 與 Citizen Lab 的「新聞工作者數位安全」指南，把禁用行動裝置廣告 ID 列入基本配備。
- 新聞機構應將 AdFection 列為「年度資安評估」必查項——這已經不只是「保護來源」，而是「保護採訪流程」。
九、Siami 編輯部短評
AdFection 是一份「遲到但重要」的報告。
過去十年公民實驗室揭露了 NSO Group、Candiru、Predator 等傭兵間諜軟體商對公民社會的攻擊，但每次揭露都聚焦在「誰被攻擊、怎麼被攻擊、要不要制裁」。這次不一樣——它把整條攻擊鏈拉到「最上游」，證明 RTB 廣告拍賣本身就可以是攻擊鏈的一環。
這等於把「廣告產業自律」的童話故事拆穿。從今以後，任何說「我們通過 IAB Europe 等認證所以我們是安全的」的公司都應該被質疑。
對台灣讀者來說，雖然 Discover-Tech 的受害者清單目前沒有台灣機構，但：
- 台灣半導體與供應鏈公司在 Discover-Tech 的 bid log 出現過（報告 Section 5 有列）。
- 台灣的廣告代理商與 DSP / SSP 是否曾經協助 Discover-Tech 投遞廣告？需要國內廣告產業自清。
- 政府機關與公部門裝置是否強制廣告阻擋？這是 AdFection 之後所有資安長應該回答的第一條問題。
參考資料
原始研究 / 主流外電：
- Citizen Lab 原始報告：Exposing AdFection
- Citizen Lab Executive Summary
- The Guardian：Israeli firm digital ads enabling installation of zero-click spyware, researchers say
- The Verge：Discover-Tech turned ads into zero-click mercenary spyware
- Confiant 同步產業調查：ADINT weaponized
- RSF Report：National Security and Mercenary Spyware
- CPJ：How mass surveillance from online advertising puts journalists at risk
技術背景 / 政策建議：
- Stanford Law Review：Why Google Dominates Advertising Markets
- NSA：Blocking Unnecessary Advertising Web Content（2019 公部門裝置指南）
- Schakowsky 法案：Banning Surveillance Advertising Act
- IAB Europe：Supply Chain Transparency Standards
- 404 Privacy：How Israel used ad auctions to deanonymize targets
- EFF Surveillance Self-Defense：iPhone privacy & security settings
- Consumer Reports Security Planner
- Adalytics：unsandboxed ads（為什麼廣告內程式碼是結構性風險）
網友熱門留言 (5)