המודעה נטענה בתוך אפליקציה, לפעמים במקום שאפילו לא נראה על המסך, וזה הספיק. לא היה צריך ללחוץ עליה ולא לאשר כלום. לפי דוח שפרסמה ביום חמישי קבוצת המחקר Citizen Lab מאוניברסיטת טורונטו, בדיוק כך הודבקו מכשירים של עובדים ברשת אל-ג'זירה בנוזקת מעקב מתוצרת Candiru, חברה ישראלית שמוכרת כלי ריגול לממשלות.

מה קרה

השרשרת מתחילה במכירה פומבית רגילה של שטח פרסום. לפי הדוח, חברת פרסום ישראלית בשם Discover-Tech, שרשומה בישראל מאז מרץ 2020 ומציגה את עצמה כפלטפורמה לקניית מודעות, רוכשת את ההצגה דווקא אצל היעד שהיא מחפשת. ברגע שהמודעה נטענת היא שולחת לשרת של החברה את מזהה הפרסום של המכשיר, אותו מספר שאפליקציות משתמשות בו כדי להתאים לכם מודעות, ואת כתובת ה-IP. השרת בודק את שני הפרטים ומחליט: אם זה לא המכשיר שחיפשו הוא מחזיר תשובה ריקה, ואם כן הוא מחזיר קוד JavaScript שרץ מיד. משם המכשיר ממשיך לשרת סינון של Candiru ואחר כך לשרת שליטה ובקרה (C2, השרת שממנו התוקף מפעיל את הנוזקה).

זה מסביר למה שום רשת פרסום לא עצרה את זה: המודעה עצמה נקייה. קוד התקיפה לא יושב בתוכה אלא מגיע מהשרת, ורק אחרי שהשרת החליט שהמכשיר מעניין. Citizen Lab קוראת לשיטה AdFection ואומרת שזו הפעם הראשונה שיש אישור טכני פומבי לכך שנוזקת מעקב מסחרית הגיעה למכשירים אמיתיים דרך מודעות ממוקדות. בדוח מדובר על 45 מכשירים לפחות באל-ג'זירה, שהותקפו ב-2024 וב-2025.

מה שלא נמצא חשוב לא פחות. החוקרים לא הצליחו לשחזר את החולשה בדפדפן או באפליקציה שדרכה הקוד השתלט על המכשיר, והייחוס ל-Candiru נשען על טביעות אצבע של שרתים ועל קובץ DLL שחולץ ממכשיר נגוע אחד. את זהות הממשלה שהפעילה את הכלי הדוח לא מציין. חברת אבטחת הפרסום Confiant, מעריכה שהתעבורה של Discover-Tech הגיעה לכעשרה מיליון מודעות ביום, ושהמודעות שאפשר לקשור ישירות ל-Candiru היו מעטות והגיעו בעיקר לחיבורים ביתיים וסלולריים. הופעה של מודעה אצלכם לא אומרת שנדבקתם.

למה זה חשוב לכם

שתי החברות בסיפור הזה ישראליות, אבל זה לא הפרט המעשי. המעשי הוא שהתקיפה רכבה על תשתית הפרסום הרגילה שכולנו חיים בתוכה, ושאותו מזהה פרסום שנועד להתאים לכם נעליים שימש כאן לזיהוי המכשיר של אדם מסוים. גוגל ו-IAB Europe הסירו את Discover-Tech מרשימות הספקים המאושרות שלהן בתחילת אוקטובר, אחרי שהחוקרים הציגו להן את הממצאים, וגוגל גם חסמה לה את הגישה לבורסות המודעות. החברה לא הגיבה לפניות התקשורת.

מה עושים?

הכלי הזה לא מחפש אתכם. נוזקות מעקב מסחריות נמכרות לממשלות ומופנות למטרות ספציפיות, ולכן הצעד הראשון הוא לעדכן ולא להיבהל: התקיפה נזקקה לחולשה בדפדפן או באפליקציה, ועדכון של מערכת ההפעלה והדפדפן סוגר בדיוק את סוג הפתח הזה.

אפסו את מזהה הפרסום שלכם, ואם אפשר כבו אותו. באנדרואיד זה בהגדרות תחת פרטיות ומודעות, באייפון תחת פרטיות ואבטחה ואז מעקב. זה לא עוצר תקיפה ממוקדת, אבל מצמצם את מספר הגורמים שיודעים לזהות את המכשיר שלכם לאורך זמן.

התקינו חוסם מודעות בדפדפן. פחות מודעות זה פחות קוד זר שרץ אצלכם.

אם אתם עיתונאים, פעילים או עובדים בתפקיד שמעניין מישהו, הפעילו את מצב הנעילה (Lockdown Mode) באייפון או את תוכנית ההגנה המתקדמת של גוגל באנדרואיד. שני המצבים מגבילים בכוונה חלק מיכולות המכשיר, וזה מה שמקטין את שטח התקיפה.

מודעה שמזהה אותך לפני שהיא מציגה לך משהו היא כבר לא רק עניין של פרטיות.