Laporan baru Citizen Lab, yang diliput oleh The Globe and Mail, menggambarkan apa yang mungkin menjadi salah satu penggunaan ekonomi periklanan yang paling meresahkan sejauh ini: spyware iklan zero-click yang tidak pernah perlu berinteraksi dengan jurnalis. Menurut laporan tersebut, perusahaan-perusahaan Israel melancarkan "serangan yang dikirim melalui iklan bertarget" untuk menginfeksi perangkat jurnalis dengan spyware. Mesin yang sama yang dibangun untuk menampilkan sepatu dan layanan streaming kepada Anda, dengan kata lain, dilaporkan dapat dialihfungsikan untuk menjangkau ponsel seseorang secara spesifik.

Ringkasan yang kami miliki singkat, jadi tulisan ini berpegang pada apa yang telah dilaporkan dan menjelaskan konsep-konsep yang lebih luas di sekitarnya. Di mana detailnya tidak tersedia, kami menyatakannya.

Apa yang ditemukan Citizen Lab dalam serangan yang dikirim melalui iklan

Citizen Lab, kelompok riset yang dikenal karena menyelidiki ancaman digital terhadap masyarakat sipil, menyimpulkan bahwa perusahaan-perusahaan Israel melakukan serangan yang dikirim melalui iklan bertarget. Sasarannya adalah jurnalis, dan hasilnya adalah spyware di perangkat mereka. Laporan tersebut mencirikan metode ini sebagai zero-click, yang berarti korban tidak perlu mengetuk, mengunduh, atau menyetujui apa pun.

Liputan yang tersedia bagi kami tidak merinci setiap detail teknis, seperti perangkat mana, jaringan iklan mana, atau berapa banyak orang yang terdampak, jadi kami tidak akan menebaknya. Poin utamanya adalah saluran pengirimannya: periklanan, bukan email berbahaya atau pesan teks yang mencurigakan.

Bagaimana spyware iklan zero-click mencapai perangkat jurnalis

Serangan zero-click bekerja tanpa korban melakukan apa pun. Alih-alih membujuk seseorang untuk membuka tautan berbahaya, penyerang mengandalkan perangkat lunak yang memproses konten secara otomatis. Ketika sebuah halaman atau aplikasi memuat iklan, perangkat mengambil dan merender konten tersebut dengan sendirinya. Jika penyerang dapat menempatkan konten berbahaya ke dalam alur tersebut dan perangkat memiliki kelemahan yang belum ditambal, infeksi dapat terjadi saat konten dimuat.

Itu adalah penjelasan umum tentang bagaimana serangan yang dibawa iklan dapat bekerja, bukan deskripsi tentang eksploit spesifik dalam laporan Citizen Lab. Yang penting bagi pembaca adalah prinsipnya: apa pun yang dimuat perangkat Anda secara otomatis berpotensi menjadi titik masuk, dan itu termasuk konten yang tidak pernah Anda pilih untuk lihat.

Teknik zero-click bukan hal baru di dunia spyware. Liputan kami tentang worm zero-click WeChat menggambarkan bagaimana satu panggilan tak terjawab bisa cukup untuk membobol aplikasi perpesanan yang digunakan secara luas. Jalur berbasis iklan menambahkan twist yang berbeda: penyerang tidak memerlukan nomor telepon atau akun Anda, hanya cara untuk menempatkan konten di depan Anda.

Mengapa iklan bertarget membuat jurnalis mudah dijangkau

Iklan bertarget ada untuk memungkinkan pembeli memilih siapa yang melihat sebuah pesan. Audiens dapat dipersempit berdasarkan minat, lokasi, jenis perangkat, dan sinyal lainnya. Presisi itu adalah fitur bagi pemasar yang sah. Bagi vendor pengawasan, itu adalah cara untuk mengarahkan serangan ke orang tertentu atau kelompok kecil tanpa menyiarkannya secara luas, yang juga menurunkan peluang deteksi.

Jurnalis adalah sasaran yang jelas untuk pengarahan semacam ini. Pekerjaan, minat, dan lokasi mereka sering kali publik, dan perangkat mereka mungkin menyimpan sumber serta materi yang belum dipublikasikan. Temuan Citizen Lab menunjukkan bahwa infrastruktur pelacakan di balik iklan sehari-hari dapat berfungsi ganda sebagai sistem pengiriman spyware.

Apa Artinya Bagi Anda

Sebagian besar pembaca bukanlah target yang dituju dari operasi spyware seperti ini. Serangan bertarget semacam ini biasanya mahal dan diarahkan pada orang-orang tertentu. Namun temuan ini tetap penting bagi semua orang, karena dua alasan.

Pertama, ini menunjukkan bahwa konten iklan bukan sekadar gangguan atau masalah privasi. Itu adalah bagian dari permukaan serangan perangkat Anda. Kedua, pertahanan yang membantu melawan serangan canggih juga melindungi Anda dari ancaman biasa: pembaruan yang cepat, lebih sedikit pemuatan konten otomatis, dan kontrol yang lebih ketat atas apa yang diterima perangkat Anda.

Jika Anda bekerja di bidang jurnalisme, hak asasi manusia, politik, atau bidang apa pun di mana Anda mungkin menarik perhatian lawan yang didanai dengan baik, anggap risiko Anda lebih tinggi dan bertindaklah sesuai itu.

Langkah praktis untuk mengurangi eksposur Anda

Tidak ada satu langkah pun yang membuat Anda kebal terhadap serangan zero-click, tetapi langkah-langkah ini memperkecil peluangnya:

  • Perbarui sistem operasi dan aplikasi Anda segera. Serangan zero-click biasanya bergantung pada celah yang belum ditambal. Perbaikan darurat Google untuk Chrome zero-day yang dieksploitasi di alam liar adalah contoh baik mengapa menunggu beberapa hari bisa berarti.
  • Jaga browser Anda tetap mutakhir. Browser terus-menerus memproses konten iklan, jadi aktifkan pembaruan otomatis dan mulai ulang saat diminta.
  • Blokir iklan dan pelacak sebisa mungkin. Pemblokir konten yang tepercaya atau perlindungan tingkat browser mengurangi seberapa banyak konten iklan pihak ketiga yang dimuat perangkat Anda. Ini adalah pengurang risiko, bukan jaminan.
  • Aktifkan Mode Lockdown jika Anda berisiko lebih tinggi. Pada perangkat Apple yang mendukung, Mode Lockdown membatasi fitur-fitur yang sering disalahgunakan penyerang. Ini menukar sebagian kenyamanan dengan permukaan serangan yang lebih kecil.
  • Batasi personalisasi iklan. Matikan pengenal pelacakan iklan di pengaturan perangkat Anda dan pilih keluar dari iklan yang dipersonalisasi. Ini membuat Anda lebih sulit untuk dipilih secara spesifik, meskipun tidak akan menghentikan setiap metode penargetan.
  • Mulai ulang secara berkala dan hapus aplikasi yang tidak Anda gunakan. Lebih sedikit aplikasi dan mulai ulang secara teratur meninggalkan lebih sedikit ruang untuk ancaman persisten.

Intinya

Laporan tentang spyware iklan zero-click yang dihadapi jurnalis adalah pengingat bahwa garis antara teknologi periklanan dan teknologi pengawasan bisa sangat tipis. Anda tidak dapat mengendalikan apa yang dilakukan jaringan iklan, tetapi Anda dapat mengendalikan seberapa cepat perangkat Anda ditambal dan seberapa banyak konten yang tidak tepercaya dimuat.

Daftar tindakan hari ini singkat: pasang pembaruan yang tertunda di ponsel dan browser Anda sekarang juga, aktifkan pembaruan otomatis, dan jika Anda berisiko lebih tinggi, aktifkan Mode Lockdown. Beberapa menit usaha itu menutup celah yang menjadi sandaran serangan seperti ini.