Spyware ẩn mình trong quảng cáo: Chiến dịch AdFection lộ diện

Citizen Lab vừa công bố phát hiện đầu tiên được xác nhận công khai về một cuộc tấn công spyware thương mại kiểu zero-click (không cần người dùng nhấp chuột) được phát tán qua quảng cáo trực tuyến có mục tiêu. Công ty adtech Discover-Tech của Israel bị cáo buộc đóng vai trò trung gian giữa ngành quảng cáo trực tuyến và các nhà cung cấp spyware. Chiến dịch này được đặt tên là AdFection.

AdFection: Khi quảng cáo trở thành vũ khí

Kỹ thuật AdFection biến các mạng quảng cáo thành hệ thống phát tán spyware. Chỉ cần mở một trang web hoặc ứng dụng là đủ để kích hoạt cuộc tấn công — không cần nhấp vào liên kết đáng ngờ hay tải xuống bất cứ thứ gì.

Theo các nhà nghiên cứu tại Citizen Lab, nền tảng Controlium của Discover-Tech khai thác hệ thống đấu giá thời gian thực (real-time bidding) — cơ chế quyết định quảng cáo nào xuất hiện trên trang web và ứng dụng. Mỗi khi người dùng tải một trang, các nhà quảng cáo cạnh tranh nhau để giành vị trí quảng cáo và nhận được thông tin về thiết bị cũng như vị trí của người dùng.

Discover-Tech bị cáo buộc đã lợi dụng dữ liệu đó để xác định mục tiêu cụ thể và phục vụ họ những quảng cáo độc hại.

"Chúng tôi đưa ra bằng chứng kỹ thuật cho thấy Discover-Tech, một công ty có trụ sở tại Israel, dù tự nhận là công ty quảng cáo hợp pháp, dường như là bình phong cho hành vi lạm dụng gián điệp qua quảng cáo quy mô lớn. Thực tế, việc làm cầu nối này dường như chính là mục đích chính của Discover-Tech." — Citizen Lab

Mục tiêu bị ảnh hưởng và quy mô chiến dịch

Một trong những nhà cung cấp spyware liên quan đến chiến dịch là Candiru, nhà phát triển Israel hiện được biết đến với tên Integrity Labs. Citizen Lab đã truy vết các cuộc tấn công nhắm vào ít nhất 45 thiết bị tại Al Jazeera trong năm 2024 và 2025, quy cho spyware Candiru được phát tán qua quảng cáo từ Discover-Tech.

Citizen Lab đã phân tích gần 4 tỷ bản ghi đấu giá quảng cáo và phát hiện quảng cáo của Discover-Tech xuất hiện trên hơn 70.000 ứng dụng di động và 120.000 trang web trong khoảng từ tháng 3 đến tháng 6 năm 2026.

Một số quảng cáo này đã tiếp cận được mạng lưới của các cơ quan chính phủ, tổ chức quốc phòng và NATO. Các nhà nghiên cứu không tìm thấy bằng chứng cho thấy những tổ chức đó bị lây nhiễm, nhưng họ cho rằng quảng cáo có thể đã được dùng để lập hồ sơ thiết bị trong các mạng lưới đó.

Lỗ hổng cấu trúc của hệ sinh thái quảng cáo

Điều đáng chú ý là Discover-Tech không cần lén lút xâm nhập vào hệ thống quảng cáo. Google và IAB Europe đã xếp công ty này vào danh sách nhà cung cấp được phê duyệt từ năm 2020, dường như không hề hay biết về những gì Citizen Lab cáo buộc họ làm với quyền truy cập đó.

Sau khi báo cáo được công bố:

• Google đã chấm dứt quyền truy cập của Discover-Tech vào các sàn quảng cáo và xóa công ty khỏi danh sách nhà cung cấp được phê duyệt.
• IAB Europe cũng có hành động tương tự.
• Beeswax, Vungle và Eskimi cũng đã có biện pháp xử lý.

Discover-Tech và Candiru không phản hồi yêu cầu bình luận từ Citizen Lab cũng như từ phía báo chí.

"Hành vi lạm dụng quy mô lớn, xâm phạm quyền riêng tư và tạo điều kiện cho các cuộc tấn công spyware thương mại của Discover-Tech cho thấy những lỗ hổng mang tính cấu trúc của hệ thống quảng cáo trực tuyến, khi hệ thống này đã thất bại trong việc phát hiện hoặc ngăn chặn những hành vi lạm dụng được ghi nhận trong báo cáo này." — Citizen Lab

Ý nghĩa đối với người dùng Việt Nam

Sự việc này đặt ra lo ngại không nhỏ cho người dùng internet tại Việt Nam, nơi quảng cáo trực tuyến đóng vai trò then chốt trong nền kinh tế số và tỷ lệ sử dụng thiết bị di động rất cao.

• Không thể phòng tránh bằng thói quen thông thường: Vì không cần nhấp chuột hay tải xuống, việc cẩn thận với các liên kết lạ không còn đủ để bảo vệ bạn.
• Kiểm soát quyền truy cập của ứng dụng: Hãy rà soát và hạn chế quyền truy cập vị trí, danh bạ, micro của các ứng dụng ít dùng.
• Cập nhật phần mềm thường xuyên: Các bản vá bảo mật cho hệ điều hành và trình duyệt là tuyến phòng thủ quan trọng trước lỗ hổng bị khai thác.
• Ưu tiên công cụ chặn quảng cáo và theo dõi: Trình chặn quảng cáo có thể giảm bề mặt tấn công, dù không bảo vệ tuyệt đối.

Trong nhiều năm, điều tệ nhất mà người ta nói về quảng cáo có mục tiêu là nó biết quá nhiều về bạn. Giờ đây có vẻ như một số nhà quảng cáo quan tâm đến nhiều thứ hơn cả thói quen mua sắm của bạn.