Onderzoekers hebben een geval gedocumenteerd van zero-click ad-spyware waarmee journalisten in 2024 te maken kregen, en dat verandert hoe we denken over de risico's van alledaags browsen. Al Jazeera en Citizen Lab hebben beide bevindingen gepubliceerd over een campagne die zij "AdFection" noemen, waarbij huurspyware via onlineadvertenties werd geleverd. Geen tik, geen download en geen verdachte link was nodig.

De vraag wie uiteindelijk de journalisten als doelwit koos, blijft onbeantwoord. Wat de onderzoekers zeggen wel te weten, is wie de aanvallen mogelijk maakten: twee Israëlische bedrijven, waarvan er één al ongeveer vijf jaar op de Amerikaanse zwarte lijst staat.

Hoe AdFection zero-click ad-spyware bij journalisten afleverde

Een zero-click-aanval is er een waarbij het slachtoffer niets hoeft te doen. Traditionele phishing hangt ervan af dat je een bijlage opent of op een link tikt. Hier was het afleveringskanaal het advertentie-ecosysteem zelf. Advertenties laden automatisch zodra een pagina laadt, dus een kwaadaardige advertentie kan een apparaat bereiken simpelweg omdat iemand een website heeft bezocht.

Dat is wat de techniek verontrustend maakt. Het advertentienetwerk, waar de meeste lezers nooit bij stilstaan, wordt de weg waarlangs de spyware reist. Gerichte advertenties zijn gebouwd om specifieke doelgroepen te selecteren, en dezelfde precisie waarmee een merk een bepaald demografisch segment bereikt, kan in theorie een aanvaller een bepaald persoon laten bereiken.

Publieke berichtgeving over het onderzoek noemt een advertentiebedrijf genaamd Discover-Tech en beschrijft dat makers van spyware het gebruiken om apparaten te bereiken. Die details komen uit secundaire berichtgeving over het Citizen Lab-rapport, dus raadpleeg de primaire bevindingen voor de exacte technische beschrijving voordat u erop vertrouwt.

Wat Citizen Lab en Al Jazeera ontdekten

Beide organisaties publiceerden hun eigen bevindingen. De journalisten van Al Jazeera behoorden tot degenen die getroffen werden, en Citizen Lab, de onderzoeksgroep aan de Universiteit van Toronto die bekendstaat om het onderzoeken van commerciële spyware, analyseerde de campagne en gaf deze de naam AdFection. Onze eerdere berichtgeving over Citizen Lab's bevinding dat zero-click-advertenties de apparaten van journalisten infecteerden gaat uitgebreider op het rapport in.

Twee punten springen eruit in de berichtgeving:

  • De attributie is onvolledig. De onderzoekers identificeerden de facilitators, maar niet de opdrachtgever die de doelwitten koos. Dat is typerend voor de markt voor huurspyware, waar het bedrijf dat de tools bouwt en de partij die ze gebruikt vaak verschillend zijn.
  • Een bedrijf op de zwarte lijst was betrokken. Een van de twee Israëlische firma's staat al ongeveer een half decennium op een Amerikaanse zwarte lijst. Dat roept lastige vragen op over hoe zo'n bedrijf verbonden blijft met commerciële infrastructuur en de bredere advertentietoeleveringsketen.

Secundaire berichtgeving heeft de zaak ook beschreven als het eerste publiekelijk bevestigde geval van zero-click huurspyware die via gerichte advertenties werd geleverd. Behandel die framing als de karakterisering van Citizen Lab's werk zoals door anderen gerapporteerd, en raadpleeg het oorspronkelijke rapport voor de precieze beweringen.

Waarom journalisten en activisten doelwit zijn

Huurspyware wordt verkocht als een surveillance-instrument, en journalisten zijn een terugkerend doelwit omdat zij bezitten wat anderen willen: bronnen, ongepubliceerd materiaal en privécommunicatie. Een gecompromitteerde telefoon kan contacten, berichten, locatie en microfoontoegang blootleggen. Voor een verslaggever die aan gevoelige verhalen werkt, kan één infectie bronnen in gevaar brengen, niet alleen de verslaggever.

De AdFection-zaak laat ook zien waarom de dreiging niet strikt beperkt blijft tot journalisten. De afleveringsmethode leunt op infrastructuur die iedereen gebruikt. Zelfs als een specifiek persoon als doelwit werd gekozen, bedient hetzelfde advertentiesysteem het grote publiek. De meeste lezers zijn waarschijnlijk geen prioriteitsdoelwit voor dit soort tooling, maar de zaak laat zien dat het mechanisme bestaat.

Wat dit voor u betekent

Voor de meeste mensen is het praktische risico om door huurspyware te worden uitgekozen laag. Toch zijn de bevindingen een herinnering dat nergens op klikken niet betekent dat u veilig bent, en dat gewone webadvertenties een aanvalsoppervlak kunnen zijn. Als u journalist, activist, advocaat of iemand bent die met gevoelige informatie omgaat, neem dit dan serieuzer.

Het is ook de moeite waard eerlijk te zijn over VPN's. Een VPN versleutelt uw verkeer tussen uw apparaat en de VPN-server en verbergt uw IP-adres voor de sites die u bezoekt. Het weerhoudt een kwaadaardige advertentie er niet van in uw browser te laden, en het dicht geen kwetsbaarheid op uw telefoon. Een VPN alleen beschermt niet tegen dit soort aanvallen. Het blijft nuttig voor andere privacy-doelen, maar het is hier geen verdediging.

Wat lezers kunnen doen

Geen enkele stap elimineert het risico, maar gelaagde maatregelen verminderen het aanzienlijk:

  • Werk uw besturingssysteem en browser snel bij. Spyware zoals dit is doorgaans afhankelijk van softwarefouten, en updates dichten die.
  • Schakel Lockdown Mode in als u een hoger risico loopt. Apple's Lockdown Mode is ontworpen om het aanvalsoppervlak te verkleinen voor mensen die doelwit kunnen zijn. Android-gebruikers kunnen zoeken naar vergelijkbare geavanceerde beveiligingsinstellingen.
  • Gebruik een adblocker. Als het afleveringskanaal een advertentie is, verwijdert het blokkeren van advertenties op browser- of DNS-niveau een groot deel van de blootstelling.
  • Herstart uw apparaat regelmatig. Sommige infecties overleven een herstart niet, wat aanvallers kan dwingen opnieuw te beginnen.
  • Beperk wat er in de browser draait. Minder extensies en een minimale set apps verlagen het aantal plekken dat een aanvaller kan misbruiken.
  • Zoek deskundige hulp als u infectie vermoedt. Organisaties die risicogroepen ondersteunen, kunnen helpen bij forensische controles.

Belangrijkste punten

De AdFection-zaak laat zien dat zero-click ad-spyware waarmee journalisten in 2024 te maken kregen, werd geleverd via hetzelfde advertentiesysteem dat iedereen bedient. De aanvaller is nog steeds niet geïdentificeerd, maar twee Israëlische bedrijven zijn in verband gebracht met het faciliteren ervan. Houd uw apparaten up-to-date, overweeg Lockdown Mode als u een verhoogd risico loopt, en blokkeer advertenties waar u kunt. Voor de volledige details leest u onze samenvatting van Citizen Lab's rapport over zero-click-advertenties en journalisten, en volg daarna de primaire bevindingen van Citizen Lab en Al Jazeera. En onthoud dat een VPN, hoewel nuttig, geen schild is tegen dit soort aanvallen.