你在手机上划过、几乎没看一眼也没点的那条广告，可能在追踪你的行踪、收集你的数据——而你什么都没做。

据多伦多大学公民实验室（The Citizen Lab）的研究人员，这种被称为AdFection的“零点击雇佣间谍软件”，正在越来越多地利用一个庞大且极易被滥用的在线广告生态。这条链上的一个主要角色Discover-Tech运营着Controlium平台，它让网络犯罪分子可以“精确画像并去匿名化”数以百万计的用户，给他们打上设备指纹，并在广告展示的那一刻自动感染其设备。

更麻烦的是，研究人员表示，Discover-Tech成功地在整个在线广告销售环境里伪装成了一家合法广告公司，还被谷歌和IAB Europe等机构列为“认证”和“批准”的供应商。

在四个月的时间里，这家公司的广告出现在近20万个独立网站以及数十个国家的Android和iOS应用中。它的广告还通过谷歌、Yandex、Beeswax等主要广告网络投放，甚至利用欧盟《通用数据保护条例》（GDPR）的同意框架来锁定欧盟境内的目标。

实验室已将发现通报谷歌、IAB Europe、Beeswax、Vungle（Liftoff）和Eskimi，这些机构都已采取行动，切断了Discover-Tech对数字广告生态的访问权限。

研究人员警告说，Discover-Tech的大规模滥用、侵犯隐私以及为雇佣间谍软件攻击提供便利，暴露出在线广告系统的结构性缺陷——这个系统既没有发现、也没有阻止这种滥用。

一个几乎不设防的系统

在线广告市场主要通过实时竞价（RTB）运转，拍卖由广告交易平台主持。研究人员解释说，这类由谷歌等公司运营的拍卖每天要进行“数千亿”次。当用户设备上的应用或网站弹出广告位时，会立即触发一次竞价请求；广告主随后提交报价，交易平台在零点几秒内把向该用户推送广告的权利判给赢家。这些广告可以包含图片、视频，而对网络犯罪分子最重要的，是代码。

需求方平台（DSP）和供应方平台（SSP）在这套流程里充当中间人，关于特定用户和设备的数据会在各交易平台之间共享，广告主据此判断是否要向某个人展示某条广告，判断依据包括设备标识符，以及用户的精确位置、Cookie ID、移动广告ID、IP地址等特征。

研究人员解释说，拍卖系统本身就是为定位单个个体而设计的，从广告拍卖中汇总出来的信息总量相当有价值。能接触到拍卖数据的公司，可以跨蜂窝网络、Wi-Fi和虚拟专用网（VPN）在用户不知情的情况下追踪他们。

Discover-Tech实际上已经把间谍软件产业渗透并接入了这个在线生态，其中就包括以色列臭名昭著的雇佣间谍软件厂商Candiru。研究人员称，它的合作伙伴可以向“大批毫无察觉的手机用户”投放广告，同时静默感染被选中的目标设备。

当Discover-Tech赢下一次竞价，它的一条广告就会被推送到用户设备上打开的网站或应用里。有时用户能看到它，有时它只在后台渲染。

这类广告中有很多出现在国家安全敏感网络上的设备、北约等安全组织、关键基础设施相关网络，以及全球各地的媒体机构。借助AdFection，Candiru的间谍软件感染了国际新闻网络半岛电视台的设备。

研究人员强调，Discover-Tech的广告展示并不意味着设备已经被植入间谍软件。但这家公司能够在如此庞大的广告网络中竞标并展示广告，本身就凸显出一种“系统性风险”，值得“紧急调查”。

广告本身是干净的，这才是可怕之处

Dickson Research的Frank Dickson指出，Discover-Tech的广告里根本没有漏洞利用。“这条广告是干净的，这才是可怕的地方。没有人点击任何东西。”

每一条广告只是带着设备的广告ID和IP地址回连。Dickson强调，在几乎所有的情形下，服务器什么都不返回；只有被选中的目标会收到恶意代码。

他说，第三方验证扫描器看到的是一张无害的横幅，因为对几乎每一个观看者来说，它确实就是无害的。标签就是这样绕过了验证。

同样令人警惕的是触达范围。四个月里，Discover-Tech的广告在75373款应用和120768个网站上展示过，还在属于北约、英特尔、微软和苹果的网络上有过曝光。报告强调曝光不等于感染，但Dickson表示，这家公司的定向投放显然已经触达了企业网络。

更麻烦的是那枚徽章。Discover-Tech多年来一直被列为认证或批准的供应商。报告称，所谓的审查往往只是自我声明，在表格上打个勾而已。Dickson说，认证的价值取决于背后审查的质量。

企业现在该做什么

Dickson表示，在受管理的浏览器上，广告拦截器是必要的，但并不完全够用。Discover-Tech的很多竞价针对的是移动应用内的广告，而这些通常是浏览器扩展管不到的地方。不过桌面端显然也在射程之内：Candiru攻击的是半岛电视台的Windows软件。

他给出的建议从浏览器开始：通过策略向受管理的浏览器推送经过审核的广告拦截扩展，而不是把安装的事留给员工自己；优先选用内置跟踪防护的浏览器。然后是网络层：在DNS或安全Web网关层面封堵广告与跟踪域名，这一层能覆盖受管理手机上的应用内广告；通过移动设备管理（MDM）关闭公司手机上的广告标识符，并限制存放敏感数据的设备安装靠广告变现的消费类应用。对高风险高管、记者以及前往敏感地区出差的人，开启苹果的锁定模式。

最后是修补与监视：保持浏览器和操作系统打补丁——他指出，广告只是运送车辆，真正的利用仍然需要一个漏洞；盯住与广告曝光相关的异常后续请求；并到DNS和代理日志里搜索报告中公布的那些域名。

广告标识符尤其值得审视。公民实验室的报告称，光是封堵广告标识符，就足以阻断这种攻击手法。Dickson指出，让人不安的是，很多企业花大价钱管理用户身份，转头却让公司手机把这个持久标识符交给每天运行数千亿次的匿名拍卖。

他说，每一支广告都是别人的代码在你的设备上运行。把广告网络当成任何其他不可信的供应商来对待。