Výzkum Citizen Lab a Confiant popisuje zneužití reklamního řetězce pro sledování i napadení zařízení. Rozsáhlé zobrazování reklam přitom nelze zaměňovat s počtem potvrzených infekcí.

Root.cz 19. října 2026 upozornil na výzkum AdFection, který Citizen Lab a Confiant zveřejnily 15. října. Citizen Lab jej označuje za první veřejné technické potvrzení doručení komerčního spywaru bez interakce uživatele prostřednictvím cílené reklamy. Popsaným případem jsou zařízení pracovníků Al Džazíry napadená spywarem Candiru v letech 2024 a 2025. Starší dobu útoků je třeba odlišit od zveřejnění výzkumu.

Reklamy podle výzkumníků nakupovala izraelská společnost Discover-Tech. Její platforma Controlium umožňovala pracovat s reklamními identifikátory, cookies a IP adresami a vybírat konkrétní zařízení. Reklamní plocha se tak stala vstupem do dalšího rozhodování, zda návštěvník odpovídá hledanému cíli. K doručení útočného obsahu nemusel člověk na reklamu kliknout.

Confiant začal řetězec rozebírat po nálezu reklamy ve svém skeneru v dubnu 2026. Popsal skripty sbírající charakteristiky zařízení, skrývání skutečného chování a předávání na další infrastrukturu. Rozbor vysvětluje, proč kontrola viditelného obrázku reklamy nestačí: další obsah přichází dynamicky a jeho podoba se může měnit podle návštěvníka. Přiřazení navazující infrastruktury ke Candiru opírá Confiant o souběžnou práci Citizen Lab.

Citizen Lab analyzoval přibližně čtyři miliardy záznamů reklamních aukcí. Reklamy Discover-Tech se během čtyř měsíců objevily na téměř 200 tisících různých webech a aplikacích. Tento rozsah dokládá dosah distribučního a sledovacího mechanismu, nikoli stejné množství infikovaných zařízení. Výzkumníci uvedli také reakce reklamních společností a oborových organizací, které přístup Discover-Tech odpojily nebo pozastavily.