विज्ञापन लोड होते ही डिवाइस में घुसा स्पाइवेयर, सिटिज़न लैब ने दिए सबूत

ऑनलाइन विज्ञापन में सिर्फ़ तस्वीर ही नहीं हो सकती। उसमें कोड भी हो सकता है। टोरंटो विश्वविद्यालय के Citizen Lab के शोधकर्ताओं ने अब दिखाया है कि इसी कोड का इस्तेमाल किसी चुने हुए व्यक्ति के डिवाइस में बिना एक बार भी टैप किए स्पायवेयर डालने के लिए किया गया। लैब ने इस तकनीक को AdFection नाम दिया है। वरिष्ठ शोधकर्ता बिल मार्ज़क (Bill Marczak) ने Wired से कहा कि इस तरह हैक हुए व्यक्ति को “कुछ भी गड़बड़ नज़र नहीं आएगी।” “हो सकता है कि उसे कोई विज्ञापन दिखे ही नहीं।”

जिस किसी के फोन में ढेरों मुफ़्त ऐप हैं, उसके लिए यह बात अहम है। अब तक ज़ीरो-क्लिक हमले ज़्यादातर मैसेजिंग ऐप की खामियों के ज़रिए हुए हैं, जिन्हें कंपनियां ठीक कर सकती हैं। लेकिन इस हमले में उस आम तंत्र का इस्तेमाल हुआ जो तय करता है कि आपको कौन-सा विज्ञापन दिखेगा: यह नीलामी हर बार किसी ऐप या वेब पेज के लोड होने पर सेकंड के एक छोटे-से हिस्से में चलती है और इसमें आपके डिवाइस की विज्ञापन आईडी, IP पता और फोन से जुड़ी जानकारी पहले से साझा होती है।

इस पूरे मामले के केंद्र में इज़राइल में पंजीकृत Discover-Tech है, जो खुद को विज्ञापन कंपनी बताती थी। रिपोर्ट के मुताबिक, उसके प्लेटफ़ॉर्म Controlium के ज़रिए ग्राहक विज्ञापन आईडी, ब्राउज़र कुकी या IP पते के आधार पर किसी एक व्यक्ति को निशाना बना सकते थे और विज्ञापन दिखते ही उसके डिवाइस पर कोड भेज सकते थे। बाकी सभी लोगों को सामान्य विज्ञापन दिखता था। Citizen Lab ने अल जज़ीरा न्यूज़ नेटवर्क पर हुए हमलों की एक शृंखला को पूरे भरोसे के साथ Candiru से जोड़ा है—यह स्पायवेयर बनाने वाली कंपनी अब Integrity Labs के नाम से काम करती है। प्रसारक के कम-से-कम 45 डिवाइस निशाने पर थे, और संक्रमित Windows कंप्यूटर से मिली एक फ़ाइल ने Candiru के सर्वरों की ओर इशारा किया।

शोधकर्ताओं ने सिस्टम के भीतर कैसे प्रवेश किया, यह जानकर लगभग हंसी आ सकती है। Controlium के लॉग-इन पेज में उसके अपने डैशबोर्ड का पूरा सोर्स कोड मौजूद था। टीम ने पेज को सेव किया, बाहरी सर्वरों तक जाने वाले उसके लिंक काटे और फिर हर स्क्रीन को चालू कर दिया। Discover-Tech के एक सर्वर पर विज्ञापन की बोली से जुड़े लगभग चार अरब रिकॉर्ड भी खुले पड़े थे। उनसे पता चलता है कि हमलावर की स्क्रिप्ट वाला टैग 75,373 Android और iOS ऐप में और 120,768 वेबसाइटों पर दिखाए गए विज्ञापनों में था। इनमें जाने-पहचाने नाम भी शामिल हैं: मैसेजिंग ऐप Viber पर Android में ऐसे 700,000 से अधिक विज्ञापन दिखे, और ये Yahoo Mail, Opera Mini तथा Duolingo में भी नज़र आए।

इन आंकड़ों को सावधानी से समझने की ज़रूरत है। लैब का ज़ोर है कि आपकी स्क्रीन पर Discover-Tech का विज्ञापन दिखने का यह मतलब नहीं कि आपका फोन हैक हो गया। ज़्यादातर मामलों में उसके सर्वर ने कोई कोड वापस नहीं भेजा, और बोली के ये आंकड़े चार महीनों के दौरान कंपनी के विज्ञापन प्लेटफ़ॉर्म में से सिर्फ़ एक को कवर करते हैं। Citizen Lab ने यह नहीं बताया कि अल जज़ीरा पर हमले के लिए किन सरकारों ने भुगतान किया था। विज्ञापन NATO, United Nations और कई यूरोपीय संस्थानों के नेटवर्क तक पहुंचे—लैब की इस खोज से उनकी पहुंच का पता चलता है, लेकिन यह साबित नहीं होता कि वहां डिवाइस संक्रमित हुए। नॉर्वे में विज्ञापन संसद और पुलिस के नेटवर्क तक पहुंचे; स्वीडन में सशस्त्र बलों और राष्ट्रीय ग्रिड ऑपरेटर के नेटवर्क तक। आम लोगों के लिए उपलब्ध बचाव के उपाय सीमित हैं। मार्ज़क की सलाह है कि “आप कौन हैं या क्या करते हैं” इसकी वजह से निशाना बनाए जा सकने वाले लोग विज्ञापन ट्रैकिंग बंद कर दें या सभी विज्ञापनों को ब्लॉक कर दें।

विज्ञापन उद्योग ने कार्रवाई शुरू कर दी है। Google का कहना है कि Citizen Lab और सुरक्षा कंपनी Confiant के साथ संयुक्त जांच के बाद उसने Discover-Tech को अपने विज्ञापन प्लेटफ़ॉर्म से ब्लॉक कर दिया और उस समूह से जुड़ी वेबसाइटों के लिए Safe Browsing चेतावनियां भी जोड़ दीं। IAB Europe ने मंज़ूरशुदा विज्ञापन-विक्रेताओं की अपनी सूची से कंपनी को निलंबित कर दिया, जबकि Comcast के स्वामित्व वाली Beeswax ने उसे अपने प्लेटफ़ॉर्म से हटा दिया। Discover-Tech ने Wired या TechCrunch को कोई जवाब नहीं दिया।

Citizen Lab ने यह रिपोर्ट 15 अक्टूबर, 2026 को प्रकाशित की। इसमें 2024 और 2025 में अल जज़ीरा पर हुए हमलों और मार्च से जून 2026 तक के बोली संबंधी आंकड़ों को शामिल किया गया है। लैब की एक दूसरी रिपोर्ट भी आने वाली है, जो एक अलग समूह पर केंद्रित होगी। लैब इस समूह को DARK CARTOGRAPHER कहती है। उसके मुताबिक, इस समूह ने 30 से अधिक देशों में मोबाइल ऑपरेटरों की खामियों का इस्तेमाल कर फोन की विज्ञापन आईडी को उनके फोन नंबरों से जोड़ने के लिए इसी बुनियादी ढांचे का उपयोग किया।

मार्ज़क के मुताबिक, Discover-Tech “यकीनन हिमशैल का बस एक सिरा है।” उनकी टीम को इसके विज्ञापन ढूंढ़ने के लिए दूर जाने की ज़रूरत नहीं पड़ी। CBC और Yahoo की वेबसाइटें पढ़ते समय और Android पर सुडोकू खेलते हुए ये विज्ञापन खुद शोधकर्ताओं की स्क्रीन पर दिखाई दिए।

टैग: साइबर सुरक्षा, AdFection, Candiru, Citizen Lab, Discover-Tech, ऑनलाइन विज्ञापन