Krajowy CERT wydał ostrzeżenie, że oprogramowanie szpiegujące może infekować telefony poprzez reklamy internetowe bez klikania czegokolwiek przez użytkownika. Technika ta nazywa się AdFection, a model zero-click ad spyware AdFection ma znaczenie, ponieważ eliminuje jedyną obronę, na której polega większość ludzi: nieklikanie w podejrzane rzeczy. Ten post wyjaśnia, co wiadomo, jak działa ta klasa ataków i jakie miejsce zajmuje w tym VPN.

Przed czym ostrzega Krajowy CERT

Według raportu na temat ostrzeżenia, Krajowy CERT twierdzi, że telefon może zostać przejęty po prostu przez załadowanie reklamy. Bez dotknięcia, bez monitu o pobranie, bez fałszywej strony logowania. Technika nosi nazwę AdFection.

Ostrzeżenie następuje po badaniach opisanych w połowie października 2026 r. Doniesienia medialne przypisują ustalenia Citizen Lab, którego badacze opisali AdFection jako technikę szpiegostwa cybernetycznego. Podsumowania te mówią, że badania powiązały firmę reklamową o nazwie Discover-Tech z dostawcami najemnego oprogramowania szpiegującego, wymieniając Candiru i Bindecy, oraz że urządzenia Al Jazeera znalazły się wśród tych, które były celem ataków. Nie zweryfikowaliśmy niezależnie tych szczegółów, więc należy traktować je jako zgłoszone wyniki tych badań, a nie jako ustalony fakt.

Kluczowym punktem dla zwykłych czytelników jest metoda dostarczenia. Atak przychodzi przez ten sam kanał reklamowy, który serwuje banery i reklamy wideo w aplikacjach i witrynach internetowych.

Jak działa atak reklamowy typu zero-click

Artykuł źródłowy jest zwięzły w kwestii mechaniki, ale podsumowania badań oferują użyteczny zarys. Opisują one atakujących wykorzystujących ekosystem licytacji w czasie rzeczywistym, zautomatyzowaną aukcję, która decyduje, która reklama pojawi się na ekranie w ułamku sekundy przed załadowaniem strony lub aplikacji.

W uproszczeniu zgłoszona sekwencja wygląda następująco:

  • Targetowanie: operator wybiera konkretną osobę lub urządzenie, do którego chce dotrzeć.
  • Fingerprinting: system reklamowy jest używany do rozpoznania tego urządzenia na podstawie rodzaju informacji, które reklamy zwykle zbierają.
  • Dostarczenie: gdy docelowe urządzenie ładuje reklamę, złośliwy ładunek jest serwowany zamiast lub obok normalnej treści.
  • Infekcja: jeśli urządzenie ma lukę podatną na wykorzystanie, oprogramowanie szpiegujące może zainstalować się bez żadnej interakcji.

Dlatego atak jest opisywany jako zero-click. Ofiara nie robi nic niezwykłego. Po prostu przegląda internet lub korzysta z aplikacji, która wyświetla reklamy. Podsumowania badań podkreślają, że to podejście jest skierowane do konkretnych osób, co pasuje do wzorca komercyjnego oprogramowania szpiegującego, a nie masowego złośliwego oprogramowania. Niemniej jednak publiczne ostrzeżenie od krajowego CERT sygnalizuje, że technika ta zasługuje na poważne potraktowanie znacznie wykraczające poza dziennikarzy i aktywistów.

Gdzie VPN pomaga, a gdzie nie

Ta historia jest dobrym przypomnieniem, co VPN faktycznie robi. VPN szyfruje ruch między urządzeniem a serwerem VPN i ukrywa adres IP przed odwiedzanymi witrynami. To jest naprawdę przydatne w publicznych sieciach Wi-Fi i do ograniczania niektórych rodzajów śledzenia.

Czego VPN nie robi, to inspekcja lub blokowanie treści, które przychodzą przez ten zaszyfrowany tunel. Jeśli złośliwy ładunek reklamowy jest dostarczany do telefonu, VPN przenosi go tak samo jak każde inne dane. Nie usuwa luki, którą ładunek wykorzystuje, i nie powstrzymuje sieci reklamowej przed serwowaniem reklamy. Ukrywanie adresu IP również niewiele daje przeciwko fingerprintingowi urządzenia, który opisują podsumowania badań, ponieważ opiera się on na innych sygnałach.

Istnieje mały wyjątek wart starannego wymienienia: niektóre aplikacje VPN zawierają opcjonalne blokowanie reklam lub trackerów. To jest osobna funkcja od samego zaszyfrowanego tunelu, a jej skuteczność jest różna. Jeśli na niej polegasz, sprawdź, czy jest włączona, i zachowaj do niej odpowiedni dystans.

Szersza lekcja dotyczy zaufania na różnych warstwach. Szyfrowanie chroni dane w tranzycie, ale nic nie mówi o tym, czy dostarczana treść jest bezpieczna. Przyjrzeliśmy się powiązanej kwestii zaufania w naszym artykule o unieważnianiu certyfikatów TLS i fallout GlobalSign, który pokazuje, ile odrębnych mechanizmów stoi między tobą a witryną internetową.

Co powinni teraz zrobić użytkownicy iPhone, iPad i Windows

Podsumowanie Krajowego CERT, które posiadamy, nie wymienia konkretnych luk ani wersji oprogramowania, których dotyczy problem, więc nie będziemy ich zgadywać. Poniższe kroki są ogólne, tanie i rozsądne w świetle tego rodzaju zagrożenia.

iPhone i iPad

  • Zainstaluj najnowszą aktualizację iOS lub iPadOS. Ataki zero-click zależą od niezałatanych luk, więc aktualizacje są najbardziej bezpośrednią ochroną.
  • Rozważ włączenie trybu blokady, jeśli jesteś w podwyższonym ryzyku, na przykład jako dziennikarz, aktywista lub osoba zajmująca się wrażliwą pracą. Zmniejsza on funkcjonalność w zamian za mniejszą powierzchnię ataku.
  • Ogranicz personalizację reklam w ustawieniach prywatności, aby zmniejszyć ilość danych, których mogą używać reklamy.

Windows

  • Uruchom Windows Update i zaktualizuj przeglądarkę, ponieważ przeglądarki są miejscem, gdzie ładują się reklamy.
  • Użyj renomowanego blokera treści lub ustawienia przeglądarki, które blokuje reklamy i trackery.
  • Utrzymuj włączone wbudowane narzędzia zabezpieczeń.

Android i inne urządzenia

  • Obowiązuje ta sama logika: instaluj na bieżąco aktualizacje systemu i przeglądarki oraz korzystaj z blokowania reklam lub treści.

Co to oznacza dla ciebie

Większość ludzi raczej nie będzie zamierzonym celem najemnego oprogramowania szpiegującego. Ale kanał dostarczania, reklama internetowa, jest wspólny dla wszystkich, a środki obrony są wystarczająco proste, by je przyjąć niezależnie od poziomu ryzyka. Praktyczny wniosek jest taki, że najsilniejsze保护 tutaj są nudne: załatane oprogramowanie i mniej reklam docierających do urządzenia.

VPN pozostaje wartościowym narzędziem prywatności do tego, do czego został zaprojektowany. Po prostu nie należy go traktować jako ochrony przed złośliwymi reklamami.

Wnioski do działania

  • Zaktualizuj dziś telefon, tablet, komputer i przeglądarkę oraz włącz automatyczne aktualizacje.
  • Włącz blokowanie reklam lub treści w przeglądarce lub ustawieniach systemu.
  • Ogranicz personalizację reklam, aby ograniczyć dane do fingerprintingu.
  • Jeśli jesteś w wyższym ryzyku, rozważ tryb blokady na urządzeniach Apple.
  • Traktuj VPN jako jedną warstwę prywatności, a nie obronę przed zero-click ad spyware AdFection lub podobnymi atakami.

Ostrzeżenie Krajowego CERT jest bodźcem do sprawdzenia podstaw. Dziesięć minut spędzonych na aktualizacjach i blokowaniu reklam robi więcej przeciwko temu zagrożeniu niż jakakolwiek ilość szyfrowania ruchu.