Citizen Lab cáo buộc chính phủ lợi dụng quảng cáo trực tuyến để phát tán spyware 'zero-click'

Các nhà nghiên cứu bảo mật tại đơn vị nghiên cứu quyền kỹ thuật số Citizen Lab vừa công bố báo cáo gây chấn động, cáo buộc các nhà sản xuất spyware do chính phủ hậu thuẫn đang lợi dụng mạng lưới quảng cáo toàn cầu để nhắm mục tiêu và xâm nhập thiết bị của nạn nhân thông qua các quảng cáo trực tuyến độc hại.

Minh họa bảng điều khiển Controlium

Discover-Tech — cầu nối giữa quảng cáo và spyware

Theo báo cáo công bố ngày thứ Năm của nhóm nghiên cứu thuộc Đại học Toronto chuyên điều tra các hành vi lạm dụng giám sát và quyền kỹ thuật số, một công ty Israel có tên Discover-Tech cho phép các nhà sản xuất spyware sử dụng nền tảng quảng cáo của mình để nhắm mục tiêu vào những người hoặc thiết bị cụ thể gần như ở bất kỳ đâu trên thế giới, bằng phần mềm gián điệp có khả năng đánh cắp dữ liệu một cách âm thầm.

Các nhà nghiên cứu nhận định Discover-Tech tự giới thiệu như một công ty quảng cáo hợp pháp, nhưng thực chất lại đóng vai trò "cầu nối giữa các nhà cung cấp quảng cáo và hệ sinh thái spyware đánh thuê".

Citizen Lab cho biết ít nhất hai nhà sản xuất spyware zero-click — Candiru và Bindecy — đã sử dụng nền tảng của Discover-Tech để nhắm mục tiêu vào người dùng. Cả hai hãng này đều cung cấp các sản phẩm giám sát có khả năng lây nhiễm thiết bị mà nạn nhân không cần mở tin nhắn hay nhấp vào bất kỳ liên kết nào.

Hàng chục máy tính tại Al Jazeera bị xâm nhập

Các nhà nghiên cứu phát hiện một cuộc tấn công đã ảnh hưởng đến ít nhất 45 máy tính Windows tại tổ chức truyền thông Al Jazeera. Các thiết bị này dường như bị xâm nhập trong giai đoạn 2024–2025 thông qua spyware của Candiru, sau khi tiếp xúc với các quảng cáo trực tuyến chứa mã độc.

Citizen Lab thừa nhận chưa xác định được chính phủ nào đứng sau các cuộc tấn công này, nhưng khẳng định đây là lần đầu tiên họ xác nhận được các cuộc tấn công bằng spyware zero-click do chính phủ hậu thuẫn được phát tán qua quảng cáo trực tuyến — điều có thể đặt hàng loạt thiết bị trên toàn thế giới vào vòng nguy hiểm.

"Đã có nhiều đồn đoán rằng quảng cáo trực tuyến có thể được dùng để nhận diện và tự động tấn công mục tiêu với độ chính xác cực cao, nhưng giờ đây lần đầu tiên chúng tôi có bằng chứng kỹ thuật cụ thể cho thấy quá trình này đang diễn ra thực tế", Bill Marczak, nhà nghiên cứu cấp cao của Citizen Lab, chia sẻ trước khi báo cáo được công bố.

Lỗ hổng từ chính nền tảng của Discover-Tech

Tin tặc từ lâu đã tìm cách lợi dụng quyền truy cập vào các mạng quảng cáo, một phần vì khả năng tiếp cận gần như mọi thiết bị kết nối internet trên toàn cầu. Các mạng quảng cáo được thiết kế để giúp nhà quảng cáo nhắm mục tiêu vào những nhóm người, thiết bị và tổ chức cụ thể — nhưng cũng có thể bị lạm dụng để nhắm vào từng cá nhân hoặc thiết bị với mã độc.

Dù các cuộc tấn công "malvertising" không phải là mới, việc dùng quảng cáo trực tuyến để cho phép spyware chính phủ mạnh mẽ âm thầm xâm nhập thiết bị là một bước leo thang đáng chú ý.

Các nhà nghiên cứu cho biết nền tảng của Discover-Tech — mà công ty gọi là Controlium — để lộ một phần mã nguồn trên trang đăng nhập, cho phép họ tái tạo lại bảng điều khiển trực tuyến mà không cần đăng nhập. Theo họ, bảng điều khiển này "dường như được thiết kế riêng để cho phép đẩy nội dung độc hại tới từng người dùng mục tiêu song song với quảng cáo".

Citizen Lab cũng phát hiện một phần trang web của Discover-Tech có thể truy cập công khai, cho phép tải xuống hàng loạt bản ghi đăng nhập của bảng điều khiển Controlium mà không cần mật khẩu. Một số thông tin đăng nhập thuộc về ít nhất hai nhân viên của hãng spyware Candiru, cùng một số của Bindecy.

Hàng tỷ bản ghi đấu giá quảng cáo bị phơi bày

Nhóm nghiên cứu còn tìm thấy hàng tỷ bản ghi đấu giá quảng cáo bị lộ trên website của Discover-Tech, cho thấy quảng cáo của họ đã được hiển thị trên hàng chục nghìn ứng dụng di động và website trong khoảng thời gian từ tháng 3 đến tháng 6 năm 2026.

Các bản ghi này cho thấy quảng cáo đã xuất hiện trên thiết bị của quân đội, cơ quan chính phủ, hạ tầng trọng yếu và các cơ quan an ninh mạng quốc gia. Tuy nhiên, vẫn chưa rõ liệu những quảng cáo đó có dẫn đến việc thiết bị bị xâm nhập hay không.

Các nhà nghiên cứu bảo mật tại nền tảng đánh giá chất lượng quảng cáo Confiant, đơn vị phối hợp với Citizen Lab điều tra vụ việc, cho biết họ cũng tìm thấy bằng chứng về các quảng cáo có khả năng độc hại được hiển thị trên thiết bị thuộc mạng lưới của Cơ quan Năng lượng Nguyên tử Quốc tế (IAEA) và Tòa án Hình sự Quốc tế (ICC).

Khuyến nghị phòng vệ cho người dùng

Marczak của Citizen Lab nhận định Discover-Tech "chắc chắn chỉ là phần nổi của tảng băng chìm" và kêu gọi người dùng hành động phòng vệ.

"Nếu bạn có thể bị nhắm mục tiêu dựa trên con người hoặc công việc của bạn, đã đến lúc tắt theo dõi quảng cáo trên thiết bị của mình, hoặc thậm chí chặn quảng cáo hoàn toàn", Marczak nói.

Các chuyên gia bảo mật và quyền riêng tư từ lâu đã khuyến khích người dùng cài đặt trình chặn quảng cáo để ngăn quảng cáo hiển thị trên màn hình máy tính và di động, kể cả trong ứng dụng. Tuy nhiên, sự phổ biến của quảng cáo trực tuyến khiến việc thoát khỏi hoàn toàn sự chi phối của ngành này là rất khó khăn.

Đối với người dùng Việt Nam — đặc biệt là những cá nhân làm việc trong lĩnh vực nhạy cảm, nhà báo, nhà hoạt động hoặc nhân viên tổ chức quốc tế — khuyến nghị nên chủ động cài đặt ad-blocker, tắt theo dõi quảng cáo trong cài đặt thiết bị, đồng thời cập nhật hệ điều hành và phần mềm thường xuyên để giảm thiểu rủi ro bị tấn công bằng spyware zero-click.

Al Jazeera không phản hồi yêu cầu bình luận về các vụ xâm nhập. Discover-Tech cũng vậy, còn hãng Integrity Labs — đơn vị sản xuất Candiru — không thể liên hệ để lấy ý kiến.