Реклама заражала телефоны шпионским ПО без единого клика
Коротко: 15 октября 2026 года исследовательская лаборатория Citizen Lab опубликовала расследование: израильская рекламная компания Discover-Tech покупала самую обычную рекламу в мобильных приложениях и на сайтах и использовала её как канал доставки шпионского ПО от Candiru — компании, которая находится в чёрном списке правительства США. Платформа Discover-Tech под названием Controlium умела заражать устройство в момент показа объявления, без единого клика жертвы. С марта по июнь 2026 года такая реклама показывалась в более чем 70 000 приложений и 120 000 сайтов, затронув миллионы пользователей по всему миру, включая минимум 45 устройств журналистов Al Jazeera. Проверить и отключить рекламный идентификатор на своём телефоне можно по нашему материалу как отключить слежку через рекламный идентификатор.
Что нашла Citizen Lab
Расследование Citizen Lab, частично опубликованное 15 октября 2026 года, описывает схему, в которой обычная цифровая реклама перестаёт быть просто рекламой. Discover-Tech покупала рекламные показы через легитимные биржи программатик-рекламы — те же механизмы, что продают баннеры в любом приложении или на сайте, — а затем использовала их как инфраструктуру доставки шпионского ПО от Candiru. Специальная платформа Controlium была способна автоматически заражать устройство «в момент отображения объявления» — это классическая атака zero-click: жертве не нужно ни на что нажимать, заражение запускается самим фактом показа рекламы.
Масштаб: не точечная операция, а массовая инфраструктура
В отличие от точечных шпионских кампаний, которые бьют по конкретным людям, здесь речь о массовой рекламной инфраструктуре. По данным расследования, заражённая реклама показывалась в более чем 70 000 мобильных приложений и 120 000 сайтов в период с марта по июнь 2026 года, затронув миллионы устройств по всему миру. Среди пострадавших — не менее 45 устройств журналистов Al Jazeera, в том числе тех, кто занимался чувствительными темами. По данным репортажа, реклама с вредоносным кодом добиралась и до защищённых сетей критической инфраструктуры и госструктур — упоминаются НАТО, министерства обороны нескольких стран и крупные международные СМИ. Кто именно из клиентов Discover-Tech и Candiru заказывал слежку конкретно за Al Jazeera, в отчёте не названо.
Почему это опаснее обычного шпионского ПО
Самый тревожный элемент здесь — не конкретная жертва, а используемый канал. Классический шпионский софт типа Pegasus нужно доставить на устройство через фишинговую ссылку или уязвимость в конкретном приложении. Реклама — это инфраструктура, которая уже встроена в десятки тысяч легитимных приложений и сайтов, которыми пользуются обычные люди каждый день: мессенджеры, игры, почтовые клиенты. Если эту инфраструктуру можно использовать для слежки, заразить потенциально можно почти любого пользователя интернета — независимо от того, представляет ли он интерес для спецслужб или просто открыл приложение с рекламным SDK. Похожий принцип — превращение привычного и доверенного канала в оружие — мы разбирали в материале про риски приватности в ИИ-браузерах.
Что известно о реакции сторон
Candiru ранее уже попадала в санкционный список Министерства торговли США (2021 год) за продажу шпионского ПО авторитарным правительствам для слежки за журналистами, правозащитниками и дипломатами. Discover-Tech не называлась публично в связи с подобными обвинениями ранее. На момент публикации расследования обе компании не предоставили содержательного ответа изданиям, которые к ним обращались. Биржи программатик-рекламы, через которые закупались заражённые объявления, в отчёте Citizen Lab не поименованы как соучастники — расследование описывает их как канал, которым воспользовались, а не как осведомлённых партнёров.
Как защититься от слежки через рекламу
Полностью исключить риск заражения через рекламную инфраструктуру нельзя — это системная уязвимость всей экосистемы цифровой рекламы, а не баг в одном приложении. Но несколько мер снижают вашу экспонированность:
- Отключите персонализированную рекламу и рекламный идентификатор устройства. Это не остановит zero-click эксплойт сам по себе, но сокращает объём данных, по которым вас можно выделить как цель, и список SDK, через которые к вам поступает реклама.
- Держите ОС и браузер обновлёнными. Zero-click эксплойты обычно используют конкретные уязвимости рендеринга — своевременные патчи закрывают именно те двери, через которые работает эта техника.
- Используйте блокировщики рекламы и трекеров там, где это разрешено. Если вредоносный код распространяется через рекламные показы, блокировка самой рекламы на уровне браузера или сети снимает значительную часть риска.
- Шифруйте свой трафик VPN. VPN не остановит zero-click эксплойт на уровне устройства, но скрывает ваш реальный IP и сетевую активность от трекеров и рекламных сетей, которые профилируют пользователей для таргетинга — это сокращает поверхность, по которой вас можно выделить как мишень. Как это работает у LiMP VPN, смотрите на странице возможностей.
Источники
Частые вопросы
Что такое zero-click заражение через рекламу?
Это атака, при которой устройство заражается шпионским ПО в момент показа рекламного объявления, без единого действия пользователя — не нужно нажимать на баннер или переходить по ссылке. Заражение запускается самим фактом отображения рекламы.
Касается ли это только журналистов и госструктур?
Нет. Заражённая реклама показывалась в более чем 70 000 обычных приложений и 120 000 сайтов, которыми пользуются миллионы обычных людей — мессенджерах, играх, почтовых клиентах. Журналисты и госструктуры — подтверждённые, но далеко не единственные категории пострадавших.
Поможет ли VPN защититься от такого заражения?
VPN не блокирует сам zero-click эксплойт — тот срабатывает на уровне устройства и рендеринга рекламы. Но он скрывает ваш реальный IP и сетевую активность от рекламных сетей и трекеров, которые профилируют пользователей для таргетинга, сокращая шанс оказаться выделенной мишенью.