कनाडाई साइबर निगरानी समूह द सिटीजन लैब द्वारा किए गए एक अध्ययन में पता चला है कि लाखों लोगों के उपकरणों को कैंडिरु नामक इजरायली भाड़े के जासूसी सॉफ़्टवेयर से डिजिटल विज्ञापन के माध्यम से संक्रमित किया गया था, जिसके लिए उपयोगकर्ता के क्लिक की आवश्यकता नहीं थी।
समूह ने गुरुवार को प्रकाशित एक रिपोर्ट में बताया कि यह लक्षित विज्ञापन के माध्यम से वितरित ज़ीरो-क्लिक क्षमता वाले भाड़े के जासूसी सॉफ़्टवेयर के उपयोग का पहला सार्वजनिक रूप से पुष्टि किया गया उदाहरण है। जासूसी सॉफ़्टवेयर को अल जज़ीरा मीडिया नेटवर्क से जुड़े उपकरणों को भी लक्षित किया गया था।
रिपोर्ट के अनुसार, इज़राइल स्थित डिस्कवर-टेक कंपनी, जो खुद को एक वैध विज्ञापन फर्म के रूप में प्रस्तुत करती है, वास्तव में कैंडिरु जैसे इजरायली भाड़े के जासूसी सॉफ़्टवेयर से जुड़े भागीदारों के लिए काम करती है। इस कंपनी ने लक्षित विज्ञापन प्रदर्शित किए जो दर्जनों देशों में लाखों उपकरणों को निगरानी और खुफिया उद्देश्यों के लिए कैंडिरु सर्वरों से कनेक्ट होने के लिए प्रेरित करते थे।
द सिटीजन लैब ने स्थापित किया कि 2024 और 2025 के दौरान, डिस्कवर-टेक द्वारा अधिग्रहित ज़ीरो-क्लिक विज्ञापन हमलों की एक श्रृंखला के माध्यम से, अल जज़ीरा के भीतर कम से कम 45 उपकरणों को प्रभावित किया गया था।
डिस्कवर-टेक कंट्रोलियम नामक एक प्लेटफॉर्म का प्रबंधन करता है, जो 'भागीदारों को उपकरणों को डी-एनोनिमाइज करने, फ़िंगरप्रिंट बनाने और विज्ञापन प्रदर्शित होते ही स्वचालित रूप से संक्रमित करने' की अनुमति देता है, भले ही लक्षित उपयोगकर्ता क्लिक न करे।
चार महीने की अवधि के दौरान, डिस्कवर-टेक का विज्ञापन विभिन्न देशों में लगभग 200,000 अद्वितीय वेबसाइटों और एंड्रॉइड और आईओएस ऐप्स पर प्रदर्शित हुआ।
कैंडिरु, जिसका नाम इंटीग्रिटी लैब्स में बदल दिया गया था, डिस्कवर-टेक अन्य भाड़े के जासूसी सॉफ़्टवेयर एक्टर्स, जिसमें इंटेलोस और बाइंडेसी शामिल हैं, से भी जुड़ा हुआ है।
2021 में, कैंडिरु को अमेरिकी सरकार की राष्ट्रीय सुरक्षा या विदेश नीति के हितों के विपरीत 'गतिविधियों के संचालन' के लिए संयुक्त राज्य अमेरिका की सरकार द्वारा ब्लैकलिस्ट कर दिया गया था। कैंडिरु का नाम बदलना तब हुआ जब इसे 2025 में अमेरिकी निजी निवेश फर्म इंटीग्रिटी पार्टनर्स ने अधिग्रहित किया, जो अमेरिकी प्रतिबंधों के अधीन नहीं है।
डिस्कवर-टेक गूगल और विज्ञापन उद्योग संघ IAB यूरोप के साथ काम करने वाले 'प्रमाणित और अनुमोदित' विक्रेता के रूप में सूचीबद्ध थी, और इसने गूगल, रूसी खोज इंजन यांडेक्स और बीज़वैक्स जैसे प्रमुख नेटवर्क में विज्ञापन प्रदर्शित किए।
द सिटीजन लैब के वरिष्ठ शोधकर्ता वुल्फिए क्रिस्टल ने रॉयटर्स को बताया: 'आज ऑनलाइन विज्ञापन जिस तरह से काम करता है, वह एक प्रणालीगत सुरक्षा खतरा है' - और यह सरकारों, निजी क्षेत्र, नागरिक समाज और बाकी सभी पर लागू होता है।
न्यूयॉर्क स्थित विज्ञापन सुरक्षा फर्म कॉन्फिएंट के सह-संस्थापक जेरोम डैंगू ने, जिसने गुरुवार को इस मामले पर एक अलग रिपोर्ट भी प्रकाशित की, उल्लेख किया कि डिस्कवर-टेक दुनिया भर में प्रतिदिन कम से कम 10 मिलियन विज्ञापन प्रदर्शित करती थी, और डेटा विनिमय समझौते, जिन्हें कुकी मैचिंग के रूप में जाना जाता है, उसे उसके विज्ञापन कवरेज से बाहर भी लोगों को ट्रैक करने की अनुमति देते थे।
डैंगू ने अनुमान लगाया: 'संभवतः सैकड़ों मिलियन लोग डिस्कवर-टेक से प्रभावित हुए हैं।'
इजरायली जासूसी फर्म एनएसओ ग्रुप को भी नवंबर 2021 में यूएस ट्रेड ब्लैकलिस्ट में कैंडिरु के साथ जोड़ दिया गया था, क्योंकि अमेरिका ने निष्कर्ष निकाला था कि विदेशी सरकारें इसके जासूसी सॉफ़्टवेयर खरीद रही थीं और इसका उपयोग सरकारी अधिकारियों, पत्रकारों और अन्य व्यक्तियों की निगरानी के लिए कर रही थीं।
कैंडिरु का उपयोग नवंबर 2021 में मिडिल ईस्ट आई और अन्य वेबसाइटों को लक्षित करने के लिए भी किया गया था। ऑनलाइन सुरक्षा फर्म ईएसईटी द्वारा खोजी गई हमले ने अप्रैल 2020 में दो दिनों के लिए MEE वेबसाइट को निशाना बनाया था। इस अभियान ने दो लहरों में 20 अन्य वेबसाइटों को प्रभावित किया: अप्रैल-जुलाई 2020 और जनवरी-अगस्त 2021।
ईएसईटी ने बताया कि लक्ष्य 'मध्य पूर्व संबंध और यमन और आसपास के संघर्ष पर मजबूत ध्यान' थे। दोनों शोध समूहों गूगल, IAB यूरोप, बीज़वैक्स और अन्य प्लेटफार्मों के निष्कर्षों के बाद से डिस्कवर-टेक को डिजिटल विज्ञापन बाजार से हटा दिया गया है।