Eine israelische Digitalagentur hat über ein riesiges Netzwerk von Online-Werbeanzeigen Nutzer getarnt ausgespäht und zielgerichtet Schadsoftware auf Geräten installiert. Sicherheitsforscher des Citizen Lab entdeckten, dass die Technik vollkommen ohne Interaktion der Betroffenen funktionierte und selbst sensible Netze internationaler Organisationen berührte.
Erste technische Bestätigung von Zero-Click-Spionage über Onlinewerbung
Werbung im Internet dient schon länger der Profilbildung, doch ein aktueller Bericht enthüllt eine neue Qualität digitaler Überwachung. Das an der Universität von Toronto angesiedelte Citizen Lab hat am 15. Oktober 2026 eine Untersuchung veröffentlicht, die von einer gefährlichen Entwicklung im digitalen Werbeökosystem berichtet. Demnach hat das in Tel Aviv ansässige Unternehmen Discover-Tech eine Plattform namens Controlium betrieben, um im Verborgenen Schadsoftware auf Zielgeräten zu platzieren.
Die Forscher gaben dieser Methode den Namen AdFection. Im Gegensatz zu klassischen Angriffen, bei denen Nutzer einen manipulierten Link anklicken oder eine schädliche Datei herunterladen müssen, lief dieser Prozess im Hintergrund ab. Es ist irgendwie ein Albtraum, weil es zeigt, dass Geräte potenziell durch Spionagesoftware-Firmen infiziert werden können, indem man einfach eine Anzeige auf einer Website oder in einer mobilen App betrachtet
, erklärte Wolfie Christl, ein Mitautor des Berichts, gegenüber The Globe and Mail.
Die Forschungsgruppe, die sich an der Munk School der Universität von Toronto befindet, veröffentlichte den Bericht unter dem Titel „Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware. Die Untersuchung beleuchtet, wie die automatisierte Echtzeit-Auktion im Online-Marketing für Angriffe missbraucht werden kann.
Wozu das Netzwerk von Discover-Tech im Jahr 2026 fähig war
Die technische Infrastruktur hinter den Angriffen nutzte das automatisierte Auktionssystem der digitalen Werbebranche aus. Wenn eine Werbeanzeige auf einer Website oder in einer App lud, stellte sie laut den Erkenntnissen automatisch eine Verbindung zu Servern von Discover-Tech her. Anhand von Kennungen wie IP-Adressen und Werbe-IDs prüfte ein System, ob es sich bei dem Nutzer um ein ausgewähltes Ziel handelte.
#Karkadann (#Candiru) domains, mostly typosquatting Azeri websites. #ThreatHunting ⤵️checkhotel[.]netvergisorgula[.]comkoronamiyim[.]comopinionlimit[.]orgseffafxeber[.]comparkdev[.]netcaptivelogin[.]netolkem[.]net pic.twitter.com/u6LRsNJB87
Zwischen März und Juni 2026 bot Discover-Techs Plattform MyDSP auf fast 3,77 Milliarden Werbeeinblendungen an und gewann davon rund 442 Millionen. Die Anzeigen erschienen auf mehr als 120.000 Websites und 70.000 mobilen Apps weltweit. Experten von Confiant schätzten das tägliche Volumen auf mindestens zehn Millionen Werbeeinblendungen.
Reuters berichtete über die Vorgänge und verwies darauf, dass die betroffenen Anzeigen meist für ganz gewöhnliche Produkte wie Kopfhörer oder Mobiltelefone geschaltet wurden. Die Werbepartner und Börsen, darunter Google und das Branchengremium IAB Europe, reagierten unmittelbar nach Bekanntwerden der Vorfälle und warfen Discover-Tech aus ihren Systemen. Google bestätigte in einer offiziellen Erklärung, dass das Unternehmen Discover-Tech von seinen Werbeplattformen ausgeschlossen und entsprechende Warnungen über den eigenen Safebrowsing-Dienst eingerichtet hat.
Mindestens 45 Geräte von Al Jazeera im Visier
Konkrete Spuren der Angriffe fanden die Ermittler bei dem in Katar ansässigen Sender Al Jazeera. Mithilfe von Netzwerkprotokollen, die das Medienhaus den Forschern zur Verfügung stellte, ließ sich nachweisen, dass in den Jahren 2024 und 2025 mindestens 45 Windows-Geräte von Journalisten und Mitarbeitern Ziel von Zero-Click-Angriffen waren.
Das Citizen Lab führte diese Angriffe mit hoher Wahrscheinlichkeit auf Spionagesoftware von Candiru zurück. Candiru ist ein israelisches Unternehmen für Überwachungstechnik, das bereits im Jahr 2021 vom US-Handelsministerium auf eine schwarze Liste gesetzt wurde. Berichten zufolge agiert Candiru mittlerweile unter dem Namen Integrity Labs.
Internationale Institutionen im Gefahrenbereich der Werbeplattform
Die Reichweite des Netzwerks beschränkte sich nicht auf Medienunternehmen. Nach Angaben von Sicherheitsanalysten tauchten die Werbeanzeigen mit den versteckten Skripten auch in Netzwerken von Regierungsbehörden, Streitkräften und internationalen Organisationen auf.
Dazu gehörten laut Recherchen von Wired und weiteren Beteiligten unter anderem die NATO, die Vereinten Nationen, die Europäische Kommission sowie Ministerien und Sicherheitsbehörden in verschiedenen Ländern. Auch in sensiblen Kategorien wie bei der Internationalen Atomenergie-Organisation und dem Internationalen Strafgerichtshof wurden solche Anzeigen registriert. Die automatisierte Natur des Marktes für Echtzeit-Bietverfahren erschwert es einzelnen Webseitenbetreibern oder App-Entwicklern erheblich, die angelieferten Werbeformate vorab lückenlos auf bösartigen Code zu überprüfen.
Cybersicherheitsbehörden, Regulierungsbehörden und Gesetzgeber in den USA, in Europa und anderen Regionen müssen laut Wolfie Christl dringend einschreiten, um die beteiligten Unternehmen zu untersuchen und die Systemrisiken zu beheben, die ein böswilliges Ad-Targeting ermöglichen, wie er gegenüber The Guardian erklärte.
Welche staatlichen Auftraggeber oder Geheimdienste hinter dem Einsatz der Spionagesoftware über die Werbeinfrastruktur stecken, bleibt in den vorliegenden Berichten weiterhin offen.
