加拿大多伦多大学旗下网络安全研究机构Citizen Lab近日披露一项引发广泛关注的调查结果。研究人员发现，一种基于网络广告投放体系的新型攻击方式已经被实际用于间谍活动，攻击者甚至无需受害者点击任何链接，即可通过在线广告识别目标并在设备上部署间谍软件。
研究团队将这一技术命名为“AdFection”，并表示这是首次公开获得技术证据证明“零点击”商业间谍软件攻击能够借助在线广告系统实施。此次调查显示，该技术曾被用于针对卡塔尔半岛电视台（Al Jazeera）的网络渗透行动。
根据报告，一家名为Discover-Tech的以色列公司在此次行动中扮演关键角色。该公司对外宣称是一家数字广告企业，但研究人员认为，其运营的平台实际上能够帮助合作伙伴识别、追踪并锁定特定目标设备。
调查指出，Discover-Tech运营着名为Controlium的平台。该平台能够利用在线广告实时竞价系统收集设备信息，包括广告标识符和IP地址。当系统识别出预定目标后，可向对应设备发送恶意代码，而普通用户看到的则只是普通广告内容。这意味着受害者无需点击广告，也无需下载任何文件，攻击过程即可自动展开。
研究人员称，该平台不仅能够识别目标身份，还能够成为恶意软件传播入口。在针对半岛电视台的案例中，攻击者据称利用这一机制向目标设备部署了Candiru商业间谍软件。Candiru是一款知名的雇佣型间谍软件工具，能够远程控制设备、窃取数据，并访问设备的摄像头和麦克风。
Citizen Lab表示，他们在半岛电视台网络中发现至少45台设备遭到相关攻击，时间跨度涉及2024年至2025年。研究人员认为，这是目前公开披露的首个通过定向广告实施零点击间谍软件感染的完整技术案例。
此次行动的覆盖范围也远超个别目标。研究团队分析了约40亿条广告竞价记录后发现，在2026年3月至6月期间，Discover-Tech投放的广告曾出现在全球约12万个网站和7万多个移动应用程序中，涉及多个国家和地区。
研究人员进一步指出，这些广告不仅承担商业宣传作用，还被用于大规模侦察和目标筛选。数百万台设备曾被悄悄引导连接到与Candiru相关的服务器，从而帮助攻击者收集信息、识别目标，并为后续攻击做准备。
调查还发现，Discover-Tech长期出现在多家大型广告生态系统的认证供应商名单中，其中包括Google广告体系以及欧洲广告行业组织IAB Europe。这意味着其广告能够进入全球大量网站和应用程序。
除Candiru之外，Citizen Lab还发现另一个被称为“Dark Cartographer”的威胁组织与该广告平台存在联系。研究人员称，该组织主要利用移动运营商相关漏洞，将设备广告标识与真实电话号码进行关联，从而实现大规模用户去匿名化。
广告安全公司Confiant在独立调查中也发现，相关广告曾出现在政府部门、国防机构以及北约网络环境中。不过目前尚无证据表明这些机构设备遭到成功感染。
事件曝光后，多家广告平台已采取措施切断与Discover-Tech的合作关系。与此同时，研究人员呼吁监管机构和广告行业重新审视现有数字广告生态系统的安全风险。他们认为，原本用于商业营销的广告基础设施已经被证明能够成为大规模监控、目标追踪乃至网络攻击的工具，而这一现象对互联网隐私和网络安全构成了新的挑战。