Citizen Lab tìm ra phần mềm gián điệp lây qua quảng cáo, không cần nhấp

Một quảng cáo trực tuyến có thể chứa nhiều thứ hơn một bức ảnh. Nó có thể mang theo mã độc, và các nhà nghiên cứu tại Citizen Lab thuộc Đại học Toronto vừa cho thấy mã này được dùng để cài spyware lên thiết bị của một người đã bị nhắm mục tiêu mà người đó không cần chạm vào màn hình lần nào. Phòng thí nghiệm gọi kỹ thuật này là AdFection. Nhà nghiên cứu cấp cao Bill Marczak nói với Wired rằng người bị tấn công theo cách này “sẽ không nhận thấy điều gì bất thường”. “Thậm chí, có khi họ còn chẳng thấy quảng cáo nào.”

Điều này đáng lưu tâm với bất kỳ ai có chiếc điện thoại đầy những ứng dụng miễn phí. Các cuộc tấn công zero-click trước đây chủ yếu khai thác lỗ hổng trong ứng dụng nhắn tin — những lỗ hổng mà các công ty có thể vá. Nhưng cuộc tấn công lần này lợi dụng chính hệ thống quảng cáo thông thường, nơi quyết định bạn sẽ nhìn thấy quảng cáo nào: một phiên đấu giá diễn ra trong chưa đầy một giây mỗi khi ứng dụng hoặc trang web tải lên, đồng thời vốn đã chuyển đi mã định danh quảng cáo, địa chỉ IP và thông tin về điện thoại của bạn.

Đứng ở trung tâm vụ việc là Discover-Tech, một công ty đăng ký tại Israel, tự giới thiệu mình là doanh nghiệp quảng cáo. Theo báo cáo, nền tảng Controlium của công ty cho phép khách hàng xác định riêng một mục tiêu bằng mã định danh quảng cáo, cookie trình duyệt hoặc địa chỉ IP, rồi đẩy mã đến thiết bị đó ngay khi quảng cáo hiển thị. Tất cả những người khác chỉ nhận được quảng cáo bình thường. Với mức độ tin cậy cao, Citizen Lab liên hệ một loạt vụ tấn công nhằm vào mạng tin tức Al Jazeera với Candiru, một nhà cung cấp spyware hiện hoạt động dưới tên Integrity Labs. Ít nhất 45 thiết bị bên trong đài truyền hình này bị nhắm mục tiêu; một máy tính Windows nhiễm mã độc đã để lộ tệp tin dẫn đến các máy chủ của Candiru.

Cách các nhà nghiên cứu xâm nhập hệ thống gần như trớ trêu. Trang đăng nhập Controlium gửi kèm toàn bộ mã nguồn của chính bảng điều khiển, nên nhóm nghiên cứu lưu lại trang, ngắt các liên kết đến máy chủ bên ngoài rồi bật từng màn hình. Một máy chủ của Discover-Tech cũng để lộ gần bốn tỷ bản ghi đấu giá quảng cáo. Dữ liệu cho thấy quảng cáo có gắn thẻ script của kẻ tấn công xuất hiện trong 75.373 ứng dụng Android và iOS, cũng như trên 120.768 trang web. Có cả những cái tên quen thuộc: ứng dụng nhắn tin Viber hiển thị hơn 700.000 quảng cáo như vậy trên Android; chúng cũng xuất hiện trong Yahoo Mail, Opera Mini và Duolingo.

Cần đọc những con số này một cách thận trọng. Citizen Lab nhấn mạnh rằng việc nhìn thấy quảng cáo của Discover-Tech trên màn hình không có nghĩa điện thoại của bạn đã bị xâm nhập. Trong phần lớn trường hợp, máy chủ của công ty không gửi mã nào; hơn nữa, dữ liệu đấu giá chỉ bao quát một trong các nền tảng quảng cáo của hãng trong bốn tháng. Citizen Lab chưa cho biết chính phủ nào chi trả cho chiến dịch nhắm vào Al Jazeera. Phát hiện quảng cáo xuất hiện trên các mạng lưới thuộc NATO, Liên Hợp Quốc và một số cơ quan châu Âu cho thấy chúng có phạm vi tiếp cận rộng, chứ không xác nhận các thiết bị đã bị lây nhiễm. Tại Na Uy, quảng cáo tiếp cận các mạng lưới của quốc hội và cảnh sát; tại Thụy Điển, chúng xuất hiện trên mạng của lực lượng vũ trang và đơn vị vận hành lưới điện quốc gia. Những biện pháp bảo vệ dành cho người dùng thông thường khá hạn chế. Marczak khuyên bất kỳ ai có thể bị nhắm mục tiêu “vì bạn là ai hoặc bạn làm gì” nên tắt tính năng theo dõi quảng cáo hoặc chặn quảng cáo hoàn toàn.

Ngành quảng cáo đã bắt đầu có động thái. Google cho biết đã chặn Discover-Tech khỏi các nền tảng quảng cáo của mình sau cuộc điều tra chung với Citizen Lab và công ty an ninh Confiant, đồng thời bổ sung cảnh báo Safe Browsing cho các trang web có liên hệ với nhóm này. IAB Europe đình chỉ công ty khỏi danh sách nhà cung cấp quảng cáo được phê duyệt, còn Beeswax, thuộc sở hữu của Comcast, gỡ công ty khỏi nền tảng của mình. Discover-Tech không phản hồi Wired hoặc TechCrunch.

Citizen Lab công bố báo cáo vào ngày 15 tháng 10 năm 2026. Báo cáo đề cập các cuộc tấn công nhằm vào Al Jazeera trong năm 2024 và 2025, cùng dữ liệu đấu giá từ tháng 3 đến tháng 6 năm 2026. Một báo cáo thứ hai sắp được công bố, tập trung vào một nhóm riêng mà phòng thí nghiệm gọi là DARK CARTOGRAPHER. Theo Citizen Lab, nhóm này đã dùng cùng cơ sở hạ tầng để liên kết mã định danh quảng cáo trên điện thoại với số điện thoại của người dùng, thông qua các lỗ hổng tại nhà mạng di động ở hơn 30 quốc gia.

Marczak gọi Discover-Tech là “chắc chắn chỉ là phần nổi của tảng băng chìm”. Nhóm của ông không cần tìm đâu xa để bắt gặp quảng cáo của công ty. Chúng xuất hiện ngay trên màn hình của các nhà nghiên cứu khi họ đọc các trang web CBC và Yahoo, cũng như khi chơi Sudoku trên thiết bị Android.

Thẻ: an ninh mạng, quảng cáo trực tuyến, AdFection, Candiru, Citizen Lab, Discover-Tech