刷网页、看视频，广告弹出来你随手划走，觉得只要不点就没事。但多伦多大学 Citizen Lab 的一项调查给出了相反的答案：广告只要被加载出来，设备就可能已经被盯上了。

他们把这种手法命名为 AdFection。据 Citizen Lab 说明，这是首次有技术证据表明，在线广告可以被用来完成零点击式的间谍软件感染。

打开网易新闻 查看精彩图片

广告位怎么变成了攻击入口

常规的在线广告，是根据打开网站或应用的用户信息，由广告主实时竞价来决定展示什么内容。广告主借此拿到用户的 IP 地址、设备识别信息，用来筛选投放对象。广告里能塞的不只是图片和视频，还可以包含在浏览器上运行的 JavaScript 等程序。

Citizen Lab 指出，以色列广告企业 Discover-Tech 正是利用了这套投放系统，提供让特定用户设备感染间谍软件的机制。攻击使用的平台叫 Controlium。

攻击者的操作路径是：指定设备广告标识符、IP 地址等条件来挑选目标，再把广告投给这台设备。广告在目标设备上显示后，广告内的代码会连接 Discover-Tech 的服务器，按需加载额外程序，最终把设备引向间谍软件感染。

整个过程不需要用户点击广告，也不需要下载可疑文件。广告在后台加载时攻击就可能成立，用户很难察觉异常。反过来，对没有被指定为目标的设备，攻击代码不会下发，这也让专门检查广告的安全系统更难发现它。

半岛电视台至少45台设备被盯上

据 Citizen Lab 的调查，半岛电视台在 2024 年到 2025 年间至少有 45 台设备成为目标，部分设备被确认感染了以色列间谍软件企业 Candiru 的产品。

通信记录分析显示，被感染的设备会先连接 Discover-Tech 的服务器，之后经由 Candiru 的服务器，与接收攻击者指令的服务器通信。下达攻击指令的政府或组织，目前尚未被确认。

规模并不局限于单一目标。Citizen Lab 分析了 Discover-Tech 约 40 亿条广告竞价记录，发现 4 个月内该公司的广告出现在横跨数十个国家、约 20 万种网站和手机应用上。数百万台设备被引导连接 Candiru 的服务器，这些连接可能被用于大规模追踪和攻击目标摸排。

Discover-Tech 似乎还与其他监控相关企业有往来。另一个被称作 DARK CARTOGRAPHER 的攻击者，在利用移动运营商系统漏洞之后，把手机广告标识符和电话号码关联起来，进行了大规模的个人身份锁定。

它曾出现在谷歌的合规名单里

Discover-Tech 借助的是 Google、Yandex 等大型广告投放服务，并且出现在 Google 以及行业组织 IAB Europe 认证、认可的广告企业名单上。

在收到 Citizen Lab 的调查结果后，Google 于 2026 年 10 月初将 Discover-Tech 从广告企业名单中移除，并切断了它对广告交易系统的访问。其他广告投放企业也陆续采取了停止访问或屏蔽等措施。

Citizen Lab 的结论是，这次调查揭示出在线广告机制不只被用于追踪用户，还被用作了对设备发起直接网络攻击的通道。他们认为，广告行业的自我监督没能挡住这类攻击，因此呼吁广告投放企业加强安全措施，并由监管机构介入调查。