Αρκεί να εμφανιστεί μια διαφήμιση στην οθόνη. Δεν χρειάζεται κλικ, σύνδεσμος ή λήψη αρχείου. Σύμφωνα με έκθεση που δημοσίευσε στις 15 Οκτωβρίου το Citizen Lab του Πανεπιστημίου του Τορόντο, συσκευές του Al Jazeera μολύνθηκαν με το spyware της ισραηλινής Candiru μέσα από στοχευμένες διαφημίσεις. Οι ερευνητές ονομάζουν την τεχνική AdFection και τη χαρακτηρίζουν την πρώτη δημόσια τεχνική επιβεβαίωση ότι mercenary spyware, δηλαδή λογισμικό παρακολούθησης που πωλείται σε κυβερνήσεις, φτάνει στους στόχους του με αυτόν τον τρόπο.
Οι επιθέσεις έγιναν το 2024 και το 2025 και στόχευσαν τουλάχιστον 45 συσκευές του δικτύου. Τα αρχεία καταγραφής που έδωσε το Al Jazeera στους ερευνητές δείχνουν τη σειρά των βημάτων: πρώτα επαφή με υποδομή της διαφημιστικής Discover-Tech, έπειτα με έναν server της Candiru που «ελέγχει» τη συσκευή, και τέλος με τον server εντολών (C&C) του spyware. Ένα δείγμα που απομονώθηκε από υπολογιστή του δικτύου ήταν, κατά το Citizen Lab, νεότερη εκδοχή του κώδικα της Candiru που είχε εντοπίσει το 2021. Η εταιρεία, που σήμερα λειτουργεί ως Integrity Labs, βρίσκεται από το 2021 στη μαύρη λίστα του υπουργείου Εμπορίου των ΗΠΑ.
Κάθε φορά που ανοίγει μια σελίδα ή μια εφαρμογή με διαφημίσεις, γίνεται μια διαδικασία που κρατά κλάσματα του δευτερολέπτου (real-time bidding). Η συσκευή στέλνει στοιχεία όπως διαφημιστικά αναγνωριστικά, IP και τοποθεσία, και οι διαφημιστές πλειοδοτούν για να εμφανιστούν σε αυτόν ακριβώς τον χρήστη. Όπως εξηγεί το Citizen Lab, τέτοιες δημοπρασίες γίνονται εκατοντάδες δισεκατομμύρια φορές τη μέρα. Μια διαφήμιση επίσης δεν είναι μόνο εικόνα ή βίντεο: μπορεί να κουβαλά κώδικα που τρέχει μέσα στην εφαρμογή ή στον browser.
Πολλές διαφημίσεις της Discover-Tech περιείχαν ένα script που, μόλις φόρτωνε, έστελνε το αναγνωριστικό του χρήστη σε server της εταιρείας, τον οποίο εκείνη ονομάζει NOAS. Ο server έκρινε, με βάση την IP και τα αναγνωριστικά, αν η συσκευή ήταν στόχος. Αν ήταν, επέστρεφε JavaScript που οδηγούσε τελικά στο exploit. Αν δεν ήταν, απαντούσε με κενό αρχείο μηδέν bytes. Έτσι ο κακόβουλος κώδικας δεν περνούσε ποτέ από τις πλατφόρμες που προβάλλουν τις διαφημίσεις, ώστε να μην βλέπουν κάτι ύποπτο.
«Κάποιος που υφίσταται τέτοια παραβίαση δεν θα αντιληφθεί τίποτα ύποπτο. Στην πραγματικότητα, μπορεί να μην δει καν καμία διαφήμιση», λέει στο WIRED ο Bill Marczak, ανώτερος ερευνητής στο Citizen Lab.
«Ο κίνδυνος να μολυνθεί η συσκευή σας με λογισμικό υποκλοπής απλώς και μόνο επειδή χρησιμοποιείτε έναν ιστότοπο ή μια εφαρμογή που εμφανίζει διαφημίσεις είναι ένα εφιαλτικό σενάριο», προσθέτει ο Wolfie Christl, επίσης ανώτερος ερευνητής στο Citizen Lab.
Η Discover-Tech ιδρύθηκε το 2020 και παρουσιάζεται ως κανονική διαφημιστική εταιρεία. Το Citizen Lab γράφει ότι δεν βρήκε καμία ένδειξη νόμιμης διαφημιστικής δραστηριότητας. Οι ερευνητές εξέτασαν σχεδόν τέσσερα δισεκατομμύρια εκτεθειμένα αρχεία δημοπρασιών, από τον Μάρτιο έως τον Ιούνιο του 2026. Σε αυτά, τα πεδία εσόδων ήταν σχεδόν πάντα μηδενικά, και οι βασικοί «διαφημιζόμενοι» ήταν η ίδια η εταιρεία και σάιτ συνδεδεμένα μαζί της.
Η πλατφόρμα της, το Controlium, λειτουργεί σαν πίνακας ελέγχου. Ο πελάτης ανεβάζει αναγνωριστικά ή IP στόχων και ορίζει τις «ελεγχόμενες διαφημίσεις» που θα τους σταλούν. Οι ερευνητές ανασύνθεσαν το περιβάλλον του επειδή ο κώδικάς του βρισκόταν ολόκληρος στη σελίδα σύνδεσης. Από ένα endpoint χωρίς κωδικό κατέβασαν και αρχεία συνδέσεων, όπου εντόπισαν χρήστες της Candiru, της Bindecy, που φτιάχνει zero-click exploits για κινητά, και της Intelos.
Οι διαφημίσεις με το script εμφανίστηκαν σε 75.373 εφαρμογές Android και iOS και σε 120.768 ιστότοπους, από το Duolingo και το Viber έως τους New York Times και το BBC. Προβλήθηκαν επίσης σε δίκτυα του ΝΑΤΟ, του Ευρωπαϊκού Κοινοβουλίου και της Κομισιόν. Το Citizen Lab διευκρινίζει ότι μια προβολή δεν σημαίνει από μόνη της στόχευση ή μόλυνση, ζητά όμως επείγουσα διερεύνηση.
Η ιδέα δεν είναι καινούργια. Τον Δεκέμβριο του 2025, τα Intellexa Leaks, κοινή έρευνα του Inside Story, της Haaretz και του WAV Research Collective με τεχνική ανάλυση της Amnesty International, αποκάλυψαν ότι η Intellexa, κατασκευάστρια του Predator, ανέπτυσσε το Aladdin: ένα εργαλείο που μολύνει κινητά μέσω online διαφημίσεων. Τότε όμως δεν υπήρχε τεχνική απόδειξη ότι κάτι τέτοιο χρησιμοποιείται στην πράξη. Η έκθεση του Citizen Lab τη φέρνει τώρα, για άλλη εταιρεία.
Όπως είχε εξηγήσει στο WIRED Greece ο Jurre van Bergen, τεχνολόγος στο Security Lab της Amnesty International, το Predator βασιζόταν κυρίως σε επιθέσεις «one-click», όπως ο παραπλανητικός σύνδεσμος που έλαβε ο Νίκος Ανδρουλάκης το 2021. Το Aladdin ήταν διαφορετικό: για την κακόβουλη διαφήμιση, «αρκεί μόνο να τη δει κανείς για να ενεργοποιηθεί η μόλυνση, χωρίς να χρειάζεται κλικ», έλεγε ο ερευνητής. Σύμφωνα με τα έγγραφα που διέρρευσαν, οι χειριστές θα χρησιμοποιούσαν τη δημόσια IP του στόχου, την οποία μπορούν να ζητήσουν από τον πάροχο κινητής. Ο server της Discover-Tech έκρινε τους στόχους με βάση την IP και τα διαφημιστικά αναγνωριστικά, σε πολύ μεγαλύτερη κλίμακα. Για προστασία, ο van Bergen είχε συστήσει ad-blockers όπως το uBlock Origin ή το Privacy Badger του EFF.
Οι δύο υποθέσεις συνδέονται και μέσω προσώπων. Στο διοικητικό συμβούλιο της Discover-Tech καθόταν από το 2020 έως το 2025 ο Eric Banoun, συνιδρυτής της Circles και της Senpai Technologies, που η έκθεση συνδέει αντίστοιχα με την NSO Group και την Intellexa. Μέτοχος έως τον Μάρτιο του 2026 ήταν η Chaia Services Ltd, με έδρα τις Βρετανικές Παρθένους Νήσους. Σύμφωνα με έρευνα της Haaretz που επικαλείται το Citizen Lab, μία από τους διευθυντές της ήταν η Sara Hamou. Η Hamou διαχειριζόταν το εταιρικό δίκτυο της Intellexa και καταδικάστηκε από ελληνικό δικαστήριο σε οκτώ χρόνια φυλάκιση, με την έφεση να εκκρεμεί, για τον ρόλο της στο σκάνδαλο των υποκλοπών.
Η Ελλάδα εμφανίζεται και αλλού στα δεδομένα. Ένας χρήστης του Controlium που οι ερευνητές συνδέουν με την Intelos είχε συνδεθεί, μεταξύ άλλων χωρών, και από την Ελλάδα. Δεν αποδεικνύεται από την έκθεση ότι η Intellexa είχε κάποιον ρόλο στη συγκεκριμένη υπόθεση με τις στοχευμένες διαφημίσεις.
Ένα εύρημα αφορά τον ίδιο τον διαφημιστικό κλάδο. Από το 2020 έως το 2026, η Discover-Tech βρισκόταν σε λίστες «πιστοποιημένων» και «εγκεκριμένων» προμηθευτών της Google και της IAB Europe. Χρησιμοποιούσε μάλιστα το πλαίσιο συναίνεσης της IAB για τον GDPR ώστε να στοχεύει χρήστες μέσα στην ΕΕ. Μετά την έρευνα, η Google και η IAB Europe τη διέγραψαν από τα μητρώα τους στις αρχές Οκτωβρίου 2026. Google, Beeswax και Eskimi έκοψαν την πρόσβασή της και η Vungle την πάγωσε. Η έρευνα δεν έχει κλείσει και το Citizen Lab ετοιμάζει ξεχωριστές εκθέσεις.
Με την εγγραφή σας, συμφωνείτε με τους Όρους Χρήσης μας (συμπεριλαμβανομένης της παραίτησης από ομαδικές αγωγές και των διατάξεων διαιτησίας) και αναγνωρίζετε την Πολιτική Απορρήτου μας.
