Onderzoekers hebben een campagne ontdekt waarbij gerichte advertenties zero-click-exploits verspreidden. Daarmee kon geavanceerde spyware op iPhones en Android-apparaten worden geïnstalleerd zodra iemand een website bezocht of een app opende. Een klik of andere handeling van het slachtoffer was niet nodig.
De campagne, die de naam AdFection kreeg, trof volgens onderzoeksorganisatie Citizen Lab in 2024 en 2025 45 apparaten van medewerkers van Al Jazeera. Het gaat waarschijnlijk om de eerste bevestigde inzet van mercenary spyware via gerichte advertenties. De besmettingen zijn voor gebruikers moeilijk waar te nemen. Gespecialiseerde forensische software of hardware is doorgaans nodig om ze vast te stellen.
Advertentiemarkt als toegangspoort
De advertenties werden geleverd door Discover-Tech, een Israëlisch bedrijf dat zich presenteert als reguliere advertentieonderneming. Citizen Lab stelt dat het bedrijf in werkelijkheid meerdere aanbieders van commerciële spyware ondersteunt. Discover-Tech bemiddelt tussen partijen die advertenties willen tonen en websites en appmakers die advertentie-inkomsten ontvangen.
Het bedrijf gebruikt onder meer unieke mobiele identificatienummers, locatiegegevens en IP-adressen om gebruikersprofielen samen te stellen. Adverteerders kunnen vervolgens bieden om hun advertenties op apparaten van specifieke doelgroepen te laten verschijnen. Citizen Lab zegt meer dan 4 miljard biedingsgegevens van Discover-Tech te hebben verkregen. De advertenties van het bedrijf verschenen in meer dan 70.000 mobiele apps en op meer dan 120.000 websites.
De onderzoekers waarschuwen dat vooral nieuwsorganisaties risico lopen. Journalisten, redacteuren en andere medewerkers kunnen afzonderlijk worden geselecteerd, maar ook complete redacties kunnen doelwit worden. De verspreiding via advertenties vormt volgens Citizen Lab niet alleen een gevaar voor mogelijke slachtoffers, maar ook voor overheden en maatschappelijke organisaties.
De aanvalsmethode maakt misbruik van de grote schaal en de onzichtbaarheid van advertentieplatforms. Een gebruiker hoeft geen verdachte link te openen of een bestand te downloaden. Het laden van reguliere online inhoud of het openen van een geïnstalleerde app kan al voldoende zijn om de aanval uit te voeren, als het apparaat kwetsbaar is voor de gebruikte exploit.
