Izraelska firma Discover-Tech wykorzystywała reklamy online do masowego profilowania użytkowników i dostarczania zero-click spyware – ujawniają badacze Citizen Lab i Confiant.

Badacze z kanadyjskiego Citizen Lab (Uniwersytet w Toronto) oraz nowojorskiej firmy Confiant opublikowali 15 października 2026 r. wyniki śledztwa, które pokazują, jak izraelska firma reklamowa Discover-Tech zamieniła ekosystem reklam internetowych w narzędzie do inwigilacji. Firma, działająca od 2020 r. i prezentująca się jako zwykła agencja reklamowa (DSP), w rzeczywistości stanowiła most między legalnym rynkiem reklam a firmami od systemu szpiegującego typu mercenary spyware.

Jak działał mechanizm „AdFection”

Discover-Tech obsługiwał platformę Controlium, która pozwalała partnerom na masowe profilowanie i deanonymizację użytkowników na podstawie identyfikatorów reklamowych, adresów IP i fingerprintów urządzeń. Gdy wybrano konkretny cel, w „zwykłej” reklamie (np. gry czy usługi telekomunikacyjnej) ukrywany był złośliwy kod JavaScript. Atak był typu zero-click – wystarczyło, iż reklama się załadowała na stronie lub w aplikacji. Nie trzeba było niczego klikać ani pobierać.

Badacze nazwali tę technikę AdFection. To pierwsze publiczne techniczne potwierdzenie, iż zero-click mercenary spyware może być dostarczany przez systemy reklamowe (Real-Time Bidding).

Skala operacji

Analiza prawie 4 miliardów rekordów licytacji reklam z marca–czerwca 2026 r. wykazała, iż reklamy Discover-Tech pojawiły się na ponad 120 tys. stronach internetowych i około 75 tys. aplikacji mobilnych (łącznie blisko 200 tys. unikalnych miejsc) w dziesiątkach krajów. Firma wygrywała setki milionów wyświetleń (ok. 442 mln w badanym okresie) i według Confiant serwowała co najmniej 10 mln reklam dziennie.

Reklamy trafiały m.in. na strony BBC, New York Times, CBC, Fox News, Haaretz oraz do aplikacji takich jak Duolingo, Grindr, Badoo, Viber czy Truecaller. Badacze wskazują, iż „bardzo prawdopodobnie setki milionów” urządzeń miało kontakt z infrastrukturą Discover-Tech (profilowanie), choć sama infekcja spyware dotyczyła wybranych celów.

Powiązania ze spyware i konkretne ataki

Jednym z głównych partnerów była izraelska firma Candiru (obecnie Integrity Labs), umieszczona na amerykańskiej liście podmiotów objętych restrykcjami (Entity List) za sprzedaż systemu szpiegującego. Citizen Lab potwierdził z wysokim prawdopodobieństwem, iż w latach 2024–2025 dzięki reklam Discover-Tech zainfekowano co najmniej 45 urządzeń pracowników i dziennikarzy telewizji Al Jazeera oprogramowaniem Candiru.

Firma była też powiązana z innymi podmiotami z branży spyware (m.in. Intelos, Bindecy). W zarządzie Discover-Tech przez lata zasiadał Eric Banoun, związany wcześniej z firmami z otoczenia NSO Group i Intellexa

Po ujawnieniu wyników śledztwa Google usunęło Discover-Tech z platform reklamowych i list zatwierdzonych dostawców „za systematyczne łamanie zasad”. Podobnie postąpiły IAB Europe (zawieszenie na Global Vendor List), Beeswax (Comcast) oraz inne sieci. Google wprowadziło też dodatkowe zabezpieczenia Safe Browsing wobec powiązanych domen.

Badacze podkreślają, iż Discover-Tech przez lata figurowało na listach „certyfikowanych” dostawców Google i IAB Europe, mimo iż analiza nie wykazała żadnej realnej, legalnej działalności reklamowej – jedynie profilowanie i ułatwianie infekcji.

Sprawa pokazuje systemową słabość ekosystemu reklamowego: platformy, które codziennie „dotykają” niemal każdego użytkownika internetu i telefona, mogą być wykorzystywane do precyzyjnej inwigilacji państwowej lub komercyjnej bez wiedzy ofiary. Citizen Lab i Confiant apelują o wzmocnienie kontroli w branży reklamowej oraz zalecają osobom o podwyższonym ryzyku korzystanie z blokad reklam, wyłączanie śledzenia reklam i regularne resetowanie identyfikatorów mobilnych.

Źródła: raporty Citizen Lab i Confiant, relacje NBC News, The Verge, Financial Times, Ynet i Reuters.