Een nieuw rapport van Citizen Lab, waarover The Globe and Mail bericht, beschrijft wat wel eens een van de verontrustendere toepassingen van de advertentie-economie tot nu toe kan zijn: zero-click advertentie-spyware waarmee journalisten nooit interactie hoefden te hebben. Volgens het rapport hebben Israëlische bedrijven een "aanval via gerichte advertenties" opgezet om de apparaten van journalisten met spyware te infecteren. Dezelfde machinerie die is gebouwd om je schoenen en streamingdiensten te tonen, kan naar verluidt dus worden hergebruikt om de telefoon van een specifiek persoon te bereiken.

De samenvatting die we hebben is kort, dus dit bericht houdt zich aan wat er is gerapporteerd en legt de bredere concepten eromheen uit. Waar details niet beschikbaar zijn, zeggen we dat.

Wat Citizen Lab aantrof in de via advertenties geleverde aanvallen

Citizen Lab, de onderzoeksgroep die bekendstaat om het onderzoeken van digitale dreigingen tegen het maatschappelijk middenveld, concludeerde dat Israëlische bedrijven een aanval hebben uitgevoerd die via gerichte advertenties werd geleverd. De doelwitten waren journalisten, en het resultaat was spyware op hun apparaten. Het rapport karakteriseert de methode als zero-click, wat betekent dat het slachtoffer niets hoefde aan te tikken, te downloaden of goed te keuren.

De berichtgeving die ons ter beschikking staat, vermeldt niet elk technisch detail, zoals welke apparaten, welke advertentienetwerken of hoeveel mensen getroffen waren, dus we zullen daar niet naar gissen. De belangrijkste conclusie is het afleveringskanaal: advertenties, niet een kwaadaardige e-mail of een verdacht sms-bericht.

Hoe zero-click advertentie-spyware de apparaten van journalisten bereikt

Een zero-click aanval werkt zonder dat het slachtoffer iets doet. In plaats van iemand te verleiden een slechte link te openen, vertrouwt de aanvaller op software die inhoud automatisch verwerkt. Wanneer een pagina of app een advertentie laadt, haalt het apparaat die inhoud zelf op en rendert deze. Als een aanvaller kwaadaardige inhoud in die stroom kan plaatsen en het apparaat een niet-gepatchte zwakte heeft, kan de infectie plaatsvinden terwijl de inhoud wordt geladen.

Dat is een algemene uitleg van hoe via advertenties verspreide aanvallen kunnen werken, niet een beschrijving van het specifieke exploit in het Citizen Lab-rapport. Wat voor lezers belangrijk is, is het principe: alles wat je apparaat automatisch laadt, is potentieel een toegangspunt, en dat omvat inhoud die je nooit hebt gekozen te zien.

Zero-click technieken zijn niet nieuw in de spywarewereld. Onze berichtgeving over een WeChat zero-click worm beschreef hoe één gemiste oproep voldoende kon zijn om een veelgebruikte berichtenapp te compromitteren. De op advertenties gebaseerde route voegt een andere wending toe: de aanvaller heeft je telefoonnummer of een account niet nodig, alleen een manier om inhoud voor je te krijgen.

Waarom gerichte advertenties journalisten gemakkelijk bereikbaar maken

Gerichte advertenties bestaan om een koper te laten kiezen wie een bericht ziet. Doelgroepen kunnen worden vernauwd op basis van interesses, locatie, apparaattype en andere signalen. Die precisie is een functie voor legitieme marketeers. Voor een surveillanceleverancier is het een manier om een aanval op een bepaald persoon of kleine groep te richten zonder deze breed uit te zenden, wat ook de kans op detectie verkleint.

Journalisten zijn een voor de hand liggende match voor dit soort richten. Hun werk, interesses en locaties zijn vaak openbaar, en hun apparaten kunnen bronnen en ongepubliceerd materiaal bevatten. De bevinding van Citizen Lab suggereert dat de trackinginfrastructuur achter alledaagse advertenties kan dienen als afleveringssysteem voor spyware.

Wat dit voor jou betekent

De meeste lezers zijn niet het beoogde doelwit van een spyware-operatie zoals deze. Gerichte aanvallen van dit soort zijn doorgaans duur en gericht op specifieke personen. Maar de bevinding is toch voor iedereen belangrijk, om twee redenen.

Ten eerste toont het aan dat advertentie-inhoud niet alleen een ergernis of een privacykwestie is. Het maakt deel uit van het aanvalsoppervlak van je apparaat. Ten tweede beschermen de verdedigingen die helpen tegen een geavanceerde aanval je ook tegen gewone dreigingen: tijdige updates, minder automatische inhoudsladingen en een strakkere controle over wat je apparaat accepteert.

Als je werkzaam bent in de journalistiek, mensenrechten, politiek of een ander veld waarin je een goed gefinancierde tegenstander zou kunnen aantrekken, beschouw je risico dan als hoger en handel daarnaar.

Praktische stappen om je blootstelling te verminderen

Geen enkele stap maakt je immuun voor zero-click aanvallen, maar deze maatregelen verkleinen de mogelijkheid:

  • Werk je besturingssysteem en apps onmiddellijk bij. Zero-click aanvallen zijn meestal afhankelijk van niet-gepatchte fouten. Google's noodoplossing voor een Chrome zero-day die in het wild werd misbruikt is een goed voorbeeld van waarom een paar dagen wachten ertoe kan doen.
  • Houd je browser actueel. Browsers verwerken voortdurend advertentie-inhoud, dus schakel automatische updates in en herstart wanneer daarom wordt gevraagd.
  • Blokkeer advertenties en trackers waar je kunt. Een betrouwbare contentblokkeerder of bescherming op browserniveau vermindert hoeveel advertentie-inhoud van derden je apparaat laadt. Dit is een risicovermindering, geen garantie.
  • Schakel Lockdown Mode in als je een hoger risico loopt. Op ondersteunde Apple-apparaten beperkt Lockdown Mode functies die aanvallers vaak misbruiken. Het ruilt wat gemak in voor een kleiner aanvalsoppervlak.
  • Beperk advertentiepersonalisatie. Schakel advertentietracking-identificatoren uit in je apparaatinstellingen en meld je af voor gepersonaliseerde advertenties. Dit maakt je moeilijker te identificeren, hoewel het niet elke targetingmethode stopt.
  • Herstart periodiek en verwijder apps die je niet gebruikt. Minder apps en regelmatige herstarts laten minder ruimte voor persistente dreigingen.

De kern van de zaak

Het rapport over zero-click advertentie-spyware waarmee journalisten te maken kregen, is een herinnering dat de grens tussen advertentietechnologie en surveillancetechnologie dun kan zijn. Je kunt niet controleren wat advertentienetwerken doen, maar je kunt wel controleren hoe snel je apparaten worden gepatcht en hoeveel niet-vertrouwde inhoud ze laden.

De actielijst van vandaag is kort: installeer nu openstaande updates op je telefoon en browser, schakel automatische updates in en als je een hoger risico loopt, schakel Lockdown Mode in. Die paar minuten inspanning dichten de gaten waarop aanvallen zoals deze vertrouwen.