Citizen Lab cho biết đã phát hiện một chiến dịch phát tán spyware zero-click thông qua hệ thống quảng cáo trực tuyến, cho phép thiết bị bị xâm nhập ngay cả khi người dùng không nhấp vào quảng cáo hay tải bất kỳ tệp nào.

Theo Gigazine ngày 16/10/2026, Citizen Lab - đơn vị nghiên cứu thuộc Đại học Toronto, Canada - đã công bố kết quả điều tra về một chiến dịch lợi dụng hệ thống của Discover-Tech, công ty công nghệ quảng cáo có trụ sở tại Israel.

Nhóm nghiên cứu đặt tên chiến dịch này là “AdFection”. Theo Citizen Lab, đây là lần đầu tiên xuất hiện bằng chứng kỹ thuật cho thấy spyware zero-click đã được triển khai ngoài thực tế thông qua quảng cáo nhắm mục tiêu.

Cuộc tấn công khai thác Controlium, nền tảng quảng cáo của Discover-Tech. Kẻ tấn công sử dụng địa chỉ IP, mã định danh quảng cáo cùng các dữ liệu khác để chọn thiết bị mục tiêu, sau đó phân phối quảng cáo độc hại tới đúng đối tượng.

Khi quảng cáo được hiển thị, đoạn mã nhúng bên trong sẽ kết nối tới máy chủ bên ngoài để tải thêm thành phần độc hại. Toàn bộ quá trình có thể diễn ra mà không cần người dùng tương tác. Đồng thời, mã độc không được gửi tới các thiết bị ngoài danh sách mục tiêu, khiến việc phát hiện trở nên khó khăn hơn.

Theo Al Jazeera, ít nhất 45 thiết bị đã bị xác định là mục tiêu trong giai đoạn 2024-2025. Trên một số thiết bị, các nhà nghiên cứu phát hiện dấu vết lây nhiễm liên quan đến Candiru, công ty spyware của Israel.

Citizen Lab cho biết các thiết bị bị ảnh hưởng đã kết nối qua máy chủ của Discover-Tech tới máy chủ xác thực của Candiru và máy chủ điều khiển của kẻ tấn công. Tuy nhiên, nhóm nghiên cứu hiện chưa xác định được chính phủ hoặc tổ chức nào đứng sau chiến dịch này.

Sau khi phân tích khoảng 4 tỷ bản ghi đấu giá quảng cáo, Citizen Lab cho biết trong giai đoạn từ tháng 3 đến tháng 6/2026, các quảng cáo liên quan đã xuất hiện trên khoảng 200.000 website và ứng dụng di động trên toàn cầu. Việc hàng triệu thiết bị kết nối tới máy chủ của Candiru cũng làm dấy lên khả năng chiến dịch này được sử dụng cho hoạt động giám sát quy mô lớn.

Hồi đầu tháng này, Google đã loại Discover-Tech khỏi danh sách nhà cung cấp quảng cáo và chặn quyền truy cập của công ty này vào mạng giao dịch quảng cáo. Một số doanh nghiệp quảng cáo khác cũng đã triển khai biện pháp tương tự.

Citizen Lab nhận định chỉ dựa vào cơ chế tự kiểm soát của ngành quảng cáo là không đủ để ngăn chặn kiểu tấn công này. Nhóm nghiên cứu đồng thời kêu gọi tăng cường bảo mật đối với hệ thống quảng cáo và thúc giục cơ quan quản lý vào cuộc điều tra.