精准广告成了零日漏洞投递管道：Citizen Lab 曝光 AdFection 行动

你只是打开了一个网页，什么都没点，间谍软件就已经装好了。10 月 15 日，多伦多大学 Citizen Lab 发布了名为 AdFection 的调查报告：这是首次有公开技术证据证明，雇佣兵级间谍软件通过精准在线广告以零点击方式完成投递。受害者是国际媒体半岛电视台——2024 到 2025 年间，45 台设备在记者和编辑仅仅加载网站或打开 App 的情况下，被植入了 Candiru（已更名 Integrity Labs）的间谍软件。

广告竞价系统如何变成攻击通道

理解这次攻击，要先理解你每次看到一条广告背后发生了什么。今天的在线广告几乎全部来自实时竞价（RTB）：你在 App 或网站上看到广告前不到一秒，你的设备已经发出了竞价请求，带着设备标识符、精确位置、IP 地址等细粒度信息，广告交易所在数百亿次日竞价中把这条信息广播给广告主，价高者的广告连同它携带的代码一起被推送到你的设备上。关键就在”代码”两个字——广告不只是图片或视频，它是允许第三方在你的浏览器和 App 里执行代码的容器。

攻击链条的中间人是一家叫 Discover-Tech 的以色列公司。它对外自称正规广告公司，Citizen Lab 的调查结论却直指其真实身份是雇佣兵间谍软件生态的”掮客”：它运营一个叫 Controlium 的平台，让间谍软件客户对设备去匿名化、指纹识别，并在广告渲染的瞬间自动发起感染。研究团队拿到了 Discover-Tech 超过 40 亿条竞价记录，发现 2026 年 3 到 6 月四个月内，它的广告出现在近 20 万个网站和移动 App 上，覆盖数十个国家。

图 1

被”认证”的供应商，被绕过的防线

最刺眼的细节不是攻击技术，而是这家公司的”正规身份”。Discover-Tech 曾出现在 Google 和欧洲广告行业协会 IAB Europe 维护的”认证/批准供应商”名单上，通过 Google、Yandex、Beeswax 等主流广告网络投放广告，甚至还利用欧盟 GDPR 的同意框架来定向欧洲用户。它的广告展示过的网络包括北约、联合国、欧洲立法机构、澳大利亚关键基础设施提供商，以及挪威和瑞典的军队与政府机构。

报告发布后，Google 和 IAB Europe 已将 Discover-Tech 移出供应商名录，Google 直接切断了其广告交易平台访问权限，Beeswax、Vungle（Liftoff）、Eskimi 也相继断开或冻结。但这恰恰暴露了结构性问题：整个在线广告行业的”认证”体系，既没能发现也没能阻止这种规模的滥用。Citizen Lab 在报告中直言，这是在线广告系统的结构性缺陷。

为什么这条新闻值得每个技术人警惕

过去提到雇佣兵间谍软件——Candiru、NSO 的 Pegasus 这一类——普通开发者的第一反应是”那是记者和活动家的麻烦”。AdFection 改变了威胁模型：投递渠道从钓鱼链接、iMessage 零点击，扩展到了每个人每天要看几百次的广告位。你不需要点错任何东西，加载页面本身就是攻击面。报告还提到一个代号 DARK CARTOGRAPHER 的独立威胁行为者，正利用 Discover-Tech 的基础设施利用多家移动运营商的漏洞，把设备广告 ID 和电话号码关联起来，大规模去匿名化互联网用户——详细报告即将发布。

对普通用户，Citizen Lab 给出的缓解手段朴素得近乎无奈：装广告拦截器、定期重置 iOS/Android 的广告标识符、在家庭或办公网络上部署广告拦截、及时装系统更新。真正需要行动的是监管和行业本身——研究团队已呼吁监管机构调查 Discover-Tech 和 Candiru 是否违法。推测在广告与间谍生态的商业模式被真正拆解之前，”认证供应商”名单的可信度短期内很难恢复。

核心观点：广告拦截已经从”体验优化”升级为”安全配置”——如果你身边有记者、研究者或任何可能被定向的目标用户，浏览器加网络层广告拦截，是现在就能做的最低成本防御。