בלי ללחוץ על כלום: האיום החדש שמסתתר בפרסומות בטלפון

פרסומת רגילה שמופיעה בטלפון עלולה להיות הרבה יותר ממודעה למוצר או לשירות. תחקיר חדש של מעבדת Citizen Lab באוניברסיטת טורונטו חושף כיצד ניתן לנצל את מערכות הפרסום באינטרנט כדי להחדיר תוכנות ריגול למכשירים, בלי שהמשתמש יצטרך ללחוץ על הפרסומת, להוריד קובץ או לפתוח קישור.

החוקרים, שפעלו בשיתוף חברת אבטחת הפרסום Confiant ובסיוע גוגל, מציגים לראשונה ראיות טכניות לתקיפות ריגול מסוג זה באמצעות פרסומות ממוקדות. במסגרת החקירה הם גם אישרו כי השיטה, המכונה AdFection, שימשה להדבקת מכשירים של רשת אל-ג'זירה.

השיטה מנצלת את מנגנון הפרסום שפועל כמעט בכל אתר ואפליקציה. כאשר משתמש פותח אפליקציה או נכנס לאתר, חברות פרסום מתחרות בתוך שברירי שנייה על האפשרות להציג לו מודעה. המידע שמועבר בתהליך עשוי לכלול פרטים על המכשיר ועל המשתמש, ומאפשר להתאים את הפרסומת לאדם מסוים.

אלא שלפי התחקיר, המנגנון הזה נוצל גם למטרות ריגול. חלק מהפרסומות הכילו קוד שפנה לשרת חיצוני, אשר היה מסוגל להחזיר הוראות שונות בהתאם לזהות המכשיר. כך ניתן היה להפעיל רכיבי תקיפה נגד יעדים שנבחרו מראש, בעוד שמשתמשים אחרים נחשפו לפרסומת בלי לראות פעילות חריגה.

היקף החשיפה גדול במיוחד. החוקרים זיהו פרסומות שהכילו רכיבי קוד הקשורים למנגנון התקיפה ביותר מ-75 אלף אפליקציות לאנדרואיד ולאייפון ובכ-120 אלף אתרים. בין האפליקציות שבהן הופיעו הפרסומות נמצאות וייבר, Truecaller, דואולינגו, Yahoo Mail ו-Opera Mini, לצד משחקים ושירותים פופולריים נוספים.

חשוב להדגיש כי הופעת פרסומת כזו באפליקציה אינה מעידה שהאפליקציה עצמה נפרצה, או שכל מי שהשתמש בה נדבק בתוכנת ריגול. החוקרים מבחינים בין חשיפה לפרסומת, איסוף מידע על המשתמש והדבקה בפועל, שאומתה רק בחלק מהמקרים שנחקרו.

הסכנה אינה מסתכמת בהדבקה בתוכנת ריגול. לפי החוקרים, גם פרסומות שלא הפעילו תקיפה יכלו לאסוף מידע על המשתמשים ועל המכשירים שלהם. המידע הזה עשוי לסייע בזיהוי אדם מסוים ובהכנת תקיפה ממוקדת נגדו בהמשך.

אז איך אפשר להתגונן? ב-Citizen Lab ממליצים להשתמש בחוסם פרסומות אמין, להעדיף דפדפנים הכוללים הגנות מפני מעקב ולצמצם ככל האפשר את איסוף המידע הפרסומי בטלפון.

החוקרים ממליצים גם לאפס או למחוק את מזהה הפרסום במכשיר, בהתאם לאפשרויות שמציעה מערכת ההפעלה. באנדרואיד ניתן לחפש בהגדרות את האפשרות "מזהה פרסום", ובאייפון אפשר לבדוק את הגדרות המעקב תחת פרטיות ואבטחה.

אפשרות נוספת היא שימוש בשירות חסימת פרסומות ברשת הביתית או בשירות VPN אמין הכולל חסימת פרסומות. פתרונות כאלה עשויים לצמצם את החשיפה למנגנוני מעקב גם בזמן שימוש באפליקציות.

עם זאת, החוקרים מבהירים כי אף אחד מהצעדים הללו אינו מבטיח הגנה מוחלטת. עבור אנשים שנמצאים בסיכון גבוה למעקב ממוקד, ההמלצה היא להיעזר באנשי אבטחת מידע מקצועיים.

התחקיר פורסם ב-15 באוקטובר על ידי מעבדת Citizen Lab באוניברסיטת טורונטו, בשיתוף חוקרי חברת Confiant ובסיוע גוגל. ממצאיו ממחישים כיצד מערכת שנועדה להציג פרסומות מותאמות אישית יכולה לשמש גם למעקב ולהחדרת תוכנות ריגול, מבלי שהמשתמש יבחין בכך.