โฆษณาเจาะจงถูกใช้ส่งสปายแวร์แบบไม่ต้องคลิกลงมือถือเหยื่อ

งานวิจัยใหม่จาก Citizen Lab มหาวิทยาลัยโตรอนโตเผยว่า กลุ่มแฮ็กเกอร์รับจ้างใช้โฆษณาแบบเจาะจงเป้าหมายเป็นช่องทางแพร่กระจายสปายแวร์ โดยอาศัยช่องโหว่แบบ zero-click ที่ทำให้เครื่องติดมัลแวร์ได้เพียงแค่ผู้ใช้เปิดหน้าเว็บหรือแอปที่มีโฆษณานั้นอยู่ โดยไม่ต้องแตะลิงก์ ดาวน์โหลดไฟล์ หรือโต้ตอบใด ๆ เพิ่มเติม

รายงานระบุว่านี่น่าจะเป็นการยืนยันครั้งแรกที่พบการส่งสปายแวร์เชิงรับจ้างผ่านโฆษณาที่มีการกำหนดเป้าหมายอย่างแม่นยำ กลไกการโจมตีดังกล่าวอันตรายเป็นพิเศษเพราะเกิดขึ้นแบบมองไม่เห็น และผู้ใช้ทั่วไปแทบไม่อาจรับรู้ได้ด้วยตนเอง เว้นแต่จะมีการตรวจสอบเชิงนิติวิทยาศาสตร์ด้วยเครื่องมือเฉพาะทาง

Citizen Lab ตั้งชื่อแคมเปญนี้ว่า AdFection และระบุว่าสามารถยืนยันการติดเชื้อได้แล้วอย่างน้อย 45 อุปกรณ์ขององค์กรสื่อ Al Jazeera ในช่วงปี 2024–2025 โดยการโจมตีครอบคลุมทั้งอุปกรณ์ที่ใช้ iOS และ Android สะท้อนว่าภัยคุกคามนี้ไม่ได้จำกัดอยู่ที่แพลตฟอร์มใดแพลตฟอร์มหนึ่ง

นักวิจัยเตือนว่านี่เป็นสัญญาณอันตรายต่อองค์กรข่าวทั่วโลก เพราะไม่เพียงแต่กองบรรณาธิการเท่านั้นที่อาจตกเป็นเป้าหมาย แต่ยังรวมถึงนักข่าว บรรณาธิการ และเจ้าหน้าที่อื่น ๆ ที่อาจถูกติดตามหรือเจาะระบบผ่านโฆษณาที่ดูเหมือนไม่มีพิษภัย

รายงานยังชี้ว่าการแพร่กระจายสปายแวร์ผ่านโฆษณาเจาะจงเป้าหมายไม่ได้เป็นความเสี่ยงเฉพาะต่อผู้เสียหายรายบุคคล แต่ยังอาจกระทบต่อความมั่นคงของรัฐและภาคประชาสังคมในวงกว้าง เพราะทำให้ผู้โจมตีสามารถสอดแนมอุปกรณ์ของคนที่มีบทบาทสำคัญได้โดยไม่ทิ้งสัญญาณที่สังเกตเห็นง่าย