Исследователи из цифровой оборонной фирмы выяснили, что израильская компания, занимающаяся рекламными технологиями (ad-tech), активно нацеливалась на пользователей спутникового интернет-сервиса Starlink, вероятно, с целью их наблюдения. Об этом сообщили шесть источников, знакомых с данной ситуацией.
Исследователи из TrendAI, подразделения базирующейся в Токио компании Trend Micro, пришли к выводу, что израильская фирма Discover-Tech являлась одним из крупнейших источников цифровой рекламы, показываемой пользователям сервиса Starlink от SpaceX. По словам этих шести человек, реклама, скорее всего, использовалась для геолокации или другого рода слежки.
Исследователи использовали данные цифровой рекламы из телеметрии TrendAI, собранной продуктами безопасности. Они установили, что Discover-Tech стала одним из мировых лидеров по ставкам на рекламу, ориентированную на пользователей Starlink, и была главным участником торгов по трафику Starlink более чем в 100 странах, включая территории, где сам Starlink запрещен или ограничен. Торги относятся к сложной аукционной системе, через которую рекламодатели получают место в браузерах и приложениях людей.
Компания SpaceX не ответила на запросы комментариев. Discover-Tech и ее генеральный директор также не отвечали на запросы в течение последних двух недель.
TrendAI выпустила отчет о таргетировании пользователей Starlink 15 октября, однако в нем не называла Discover-Tech. Вместо этого она указала, что ответственной стороной является «ад-тех сущность», которую назвала «Shadow-Earth-79». Шесть источников уточнили, что Shadow-Earth-79 — это кодовое название TrendAI для Discover-Tech.
TrendAI не дала прямых ответов на вопросы о том, почему в отчете не было указано название Shadow-Earth-79. В своем заявлении компания объяснила, что ее подход к атрибуции направлен на минимизацию риска ошибок и избегание «ярлыков, движимых хайпом» или «нестабильных имен акторов, которые могут ввести в заблуждение защитников, исказить приоритезацию рисков и спровоцировать неподходящие ответные действия».
Индустрия по поиску способов отслеживания
Поиск методов отслеживания пользователей Starlink превратился в своего рода кустарную индустрию, поскольку правительства по всему миру пытаются контролировать распространение терминалов спутникового интернета. Поскольку эти терминалы передают данные через спутники, управляемые SpaceX, а не через национально регулируемые телекоммуникационные компании, они способны обходить местные ограничения интернета, общаться в враждебных зонах или координировать действия на полях сражений. Starlink стал особенно важным ресурсом в Украине, чья армия полагается на этот сервис для связи на передовой и направления ударов дронами.
В мае израильская газета Haaretz и сайт Intelligence Online независимо сообщили, что израильские предприятия предлагали клиентам способы идентификации и отслеживания пользователей Starlink. Haaretz отметила, что использование данных рекламы, по всей видимости, играло ключевую роль в этом процессе.
В тот же день, когда TrendAI опубликовала свой отчет о Shadow-Earth-79, канадский кибернадзорный орган Citizen Lab и нью-йоркская ad-tech фирма Confiant назвали Discover-Tech. Обе группы заявили, что израильская компания злоупотребляла процессом торгов рекламой, который может раскрывать данные о пользователях интернета самому участнику торгов. Со временем участники торгов могут собирать эти утечки данных, агрегировать их и объединять с другой информацией для деанонимизации пользователей, последующего за ними по сети и, в некоторых случаях, настройки их для таргетинга с помощью программ слежения.
Citizen Lab и Confiant сообщили, что реклама демонстрировалась внутри десятков конфиденциальных сетей, принадлежащих медиаорганизациям, правительствам и технологическим компаниям. В ответ на расследования Google, Comcast и другие компании заявили, что удалили Discover-Tech со своих рекламных платформ.
По данным одного из шести источников и еще одного человека, знакомого с вопросом, как минимум одна крупная американская технологическая компания и одна международная организация недавно начали внутренние проверки относительно того, таргетировались ли их сотрудники рекламой Discover-Tech.
Отчет TrendAI ссылался на подозрительные паттерны торгов, предполагающие, что Shadow-Earth-79 вела «инфраструктуру таргетинга и отслеживания, а не коммерческую рекламную операцию». Помимо «явного перекоса» в покупке рекламы, нацеленной на пользователей Starlink, отчет указал, что Shadow-Earth-79 была крупнейшим покупателем рекламы в Сирии, Ливии, Йемене и Южном Судане, а в Афганистане — вторым по величине, несмотря на то, что «спрос на легитимную западную рекламу в санкционированных или зонах активного конфликта фактически равен нулю». Было отмечено, что данная структура получила «неправдоподобно доминирующую долю» ставок в ряде стран, включая Венгрию, Израиль, Египет, Азербайджан и Венесуэлу.
Шесть человек сообщили, что исследователи TrendAI были убеждены в причастности Discover-Tech к подозрительным торгам и обсуждали возможность указания названия компании в отчете. Однако они отказались от этой идеи после того, как руководители TrendAI подняли юридические опасения.
Самоцензура
Эксперты отрасли безопасности отмечают, что самоцензура распространена в сфере кибербезопасности, особенно когда руководители опасаются, что раскрытие операций по наблюдению может вызвать ответные меры.
Ранее в этом году американская компания по кибербезопасности Palo Alto Networks исключила явные упоминания Китая из отчета о глобальной кампании кибершпионажа, хотя ее исследователи были уверены, что взлом можно связать с Пекином, как сообщал Reuters в то время. Reuters сообщил, что отчет был ослаблен из-за опасений, что указание на Китай создаст проблемы для деятельности Palo Alto там, которая уже находилась под пристальным вниманием после директивы Пекина, приказавшей отечественным компаниям не использовать ее продукты. Palo Alto заявила, что отсутствие атрибуции в ее отчете не коррелирует с «регуляторными требованиями закупок в Китае», и что любое иное предположение является «спекулятивным и ложным».