رویترز گزارش داد که شرکت تبلیغات دیجیتال دیسکاور-تک با استفاده از شبکه گسترده‌ای از تبلیغات اینترنتی، کاربران را ردیابی می‌کرد و از این طریق به شناسایی اهداف و تلاش برای هک دستگاه‌های آن‌ها کمک می‌رساند. این موضوع را دو گروه پژوهشی مستقل اعلام کرده‌اند.
بر اساس گزارش‌های جداگانه آزمایشگاه سیتیزن لب، نهاد کانادایی ناظر بر امنیت سایبری، و شرکت امنیت تبلیغات کنفیانت مستقر در نیویورک، خدمات دیسکاور-تک دسترسی شرکت کندیرو، فعال در حوزه جاسوس‌افزار و قرارگرفته در فهرست تحریم‌های دولت آمریکا، و چند شرکت دیگر فعال در زمینه نظارت دیجیتال را به پلتفرم‌های تبلیغاتی گوگل، کامکست، یاندکس روسیه و چند مجموعه دیگر فراهم کرده است.
تبلیغات آنلاین چگونه به ابزاری برای جاسوسی تبدیل شدند؟
گزارش‌های منتشرشده نشان می‌دهند که کسب‌وکار تبلیغات اینترنتی، با وجود نگرانی‌های دیرینه درباره حریم خصوصی، می‌تواند به بستری برای اجرای عملیات جاسوسی گسترده نیز تبدیل شود. ولفی کریستل، پژوهشگر ارشد سیتیزن لب، در گفت‌وگو با رویترز گفت:
شیوه فعالیت تبلیغات آنلاین در شرایط کنونی، تهدیدی ساختاری برای امنیت به شمار می‌رود؛ تهدیدی که دولت‌ها، بخش خصوصی، جامعه مدنی و همه افراد دیگر را به یک اندازه تحت تأثیر قرار می‌دهد.
طبق یافته‌های سیتیزن لب، تبلیغات آنلاین دیسکاور-تک که در بسیاری از موارد محصولات عادی مانند تلفن همراه و هدفون بی‌سیم را تبلیغ می‌کردند، از طریق همکاری با مجموعه‌های مختلف در بیش از ۱۲۰ هزار وب‌سایت و ۷۵ هزار اپلیکیشن به نمایش درآمدند.
پژوهشگران توضیح دادند کاربرانی که از وب‌سایت‌ها بازدید می‌کردند یا اپلیکیشن‌های حاوی این تبلیغات مخرب را به کار می‌گرفتند، امکان شناسایی و ردیابی داشتند. دیسکاور-تک در برخی موارد حتی تلاش می‌کرد شماره تلفن تعدادی از کاربران گوشی‌های هوشمند را استخراج کند. نکته نگران‌کننده این بود که برای انجام جاسوسی، تنها بارگذاری تبلیغ در یک وب‌سایت کافی بود و لزوماً نیازی به کلیک کردن روی آن وجود نداشت.
هر دو گروه پژوهشی اعلام کردند که برخی از این تبلیغات برای نصب جاسوس‌افزار شرکت کندیرو روی دستگاه کاربران به کار می‌رفتند. با این حال، کنفیانت تأکید کرد تبلیغاتی که ارتباط آن‌ها با کندیرو شناسایی شده بود، تنها بخش بسیار کوچکی از حجم کلی تبلیغات دیسکاور-تک را تشکیل می‌دادند.
نمایش تبلیغات مخرب در صدها شبکه حساس
ژروم دانگو، یکی از بنیان‌گذاران شرکت کنفیانت، اعلام کرد دیسکاور-تک روزانه دست‌کم ۱۰ میلیون تبلیغ را در سراسر جهان منتشر می‌کرد. به گفته او، سازوکارهای اشتراک‌گذاری داده میان شرکت‌ها که با عنوان تطبیق کوکی شناخته می‌شوند، امکان ردیابی افراد را حتی فراتر از محدوده نمایش مستقیم تبلیغات فراهم می‌کردند.
شرکت دیسکاور-تک در سال ۲۰۲۰ تأسیس شد، اما به درخواست‌های ارسال‌شده از طریق فرم تماس وب‌سایت خود پاسخی نداد. پیام‌های لینکدین و ایمیل‌های ارسال‌شده برای دکل بونی، مدیرعامل این شرکت، نیز بی‌پاسخ ماندند.
تلاش‌های رویترز برای برقراری ارتباط با مالکان شرکت کندیرو نیز نتیجه‌ای نداشت. وزارت بازرگانی آمریکا در سال ۲۰۲۱ این شرکت را در فهرست تحریم‌های خود قرار داده بود؛ اقدامی که به ادعای ارائه جاسوس‌افزار برای هدف قرار دادن مخرب مقام‌های دولتی، روزنامه‌نگاران، فعالان و دانشگاهیان صورت گرفت.
سیتیزن لب اعلام کرد نوع پیشرفته‌ای از جاسوس‌افزار کندیرو که از طریق تبلیغات دیسکاور-تک توزیع شده بود، بین سال‌های ۲۰۲۴ تا ۲۰۲۵ برای آلوده کردن ۴۵ دستگاه مجهز به ویندوز در شبکه خبری الجزیره قطر به کار رفته است. این گروه پژوهشی توانست موضوع را تأیید کند، زیرا الجزیره گزارش‌های ثبت‌شده در شبکه خود را در اختیار محققان قرار داده بود.
دانگو همچنین گفت تبلیغات مخرب دیسکاور-تک در صدها شبکه متعلق به حوزه‌های حساس نمایش داده شده‌اند؛ از جمله شبکه‌های مرتبط با پنتاگون، آژانس بین‌المللی انرژی اتمی و دیوان کیفری بین‌المللی. او افزود برخی مناطق، از جمله سرزمین‌های فلسطینی، به‌طور ویژه با حجم بالایی از تبلیغات این شرکت مواجه بوده‌اند.
سیتیزن لب همچنین اعلام کرد شواهد مشابهی در اختیار دارد که نشان می‌دهند تبلیغات مخرب برای کاربران سازمان ملل متحد، ناتو، کمیسیون اروپا و بیش از دوازده دولت ملی به نمایش درآمده‌اند.
از دیگر شبکه‌هایی که این تبلیغات در آن‌ها مشاهده شده‌اند، مجموعه‌های فعال در صنعت تراشه و نیمه‌رسانا هستند؛ از جمله انویدیا، سن‌دیسک، برودکام و میکرون. افزون بر این، تبلیغات موردنظر در چند سازمان رسانه‌ای در مکزیک، سرزمین‌های تحت کنترل دولت اسرائیل و اروپا نیز دیده شده‌اند، اما نام این رسانه‌ها فاش نشده است.
سیتیزن لب علاوه بر شناسایی کندیرو و چند شرکت دیگر فعال در حوزه نظارت دیجیتال، توانست اطلاعاتی درباره محل احتمالی استقرار برخی کاربران دیسکاور-تک به دست آورد. این اطلاعات پس از آن کشف شد که شرکت به‌طور ناخواسته گزارش‌های احراز هویت خود را در معرض دسترسی عمومی اینترنت قرار داد.