Nhìn lướt qua cũng 'dính' phần mềm gián điệp: Cạm bẫy 'không chạm' qua quảng cáo lần đầu lộ bằng chứng kĩ thuật
Một người mở điện thoại, lướt màn hình, không nhấn vào đường link hay mở tệp lạ. Thế nhưng trong khoảnh khắc một quảng cáo tự động hiện ra, thiết bị đã âm thầm kết nối tới hạ tầng của một hãng phần mềm gián điệp.
Đó là kịch bản được Citizen Lab, phòng nghiên cứu an ninh số thuộc Đại học Toronto (Canada), ghi nhận trong một chiến dịch có tên AdFection. Theo nhóm nghiên cứu, đây là bằng chứng kĩ thuật đầu tiên được công khai về việc phần mềm gián điệp tinh vi lây vào thiết bị qua quảng cáo số.
Trong nhiều năm, lây nhiễm qua quảng cáo chủ yếu xuất hiện trong tài liệu chào hàng của các hãng phần mềm gián điệp và trong những vụ rò rỉ. Báo cáo mới kéo nó ra khỏi vùng giả thuyết, với dấu vết nằm ngay trên nhật kí mạng của nạn nhân.
Lướt web bình thường cũng bị tấn công
Theo Citizen Lab, trong hai năm 2024 và 2025, 45 thiết bị của hãng tin Al Jazeera (Qatar) đã bị nhắm bằng các cuộc tấn công "không chạm" phát tán qua quảng cáo. Kiểu tấn công này tự cài mã độc lên thiết bị mà nạn nhân không phải nhấn, mở hay cài đặt bất cứ thứ gì.
Các quảng cáo nhắm mục tiêu do Discover-Tech, một công ty tiếp thị đăng kí tại Israel, phát hành. Phần mềm gián điệp đi kèm được quy cho Candiru, hãng phát triển phần mềm gián điệp cũng có gốc Israel. Phân tích của nhóm nghiên cứu cho thấy thiết bị bị nhắm đã liên lạc với các tên miền gắn với Discover-Tech, rồi kết nối tới hạ tầng liên quan đến Candiru.
Al Jazeera tham gia cuộc điều tra và chia sẻ nhật kí thiết bị cho Citizen Lab. Đây cũng không phải lần đầu hãng tin này bị nhắm tới. Năm 2020, Citizen Lab từng truy vết phần mềm độc hại trên điện thoại cá nhân của 36 nhà báo, nhà sản xuất, người dẫn chương trình và lãnh đạo Al Jazeera về NSO Group, khi đó qua lỗ hổng của ứng dụng nhắn tin iMessage.
Candiru cũng là cái tên quen thuộc với giới nghiên cứu. Năm 2021, Citizen Lab và Microsoft công bố báo cáo về công cụ của hãng này, trong đó Microsoft ghi nhận ít nhất 100 nạn nhân ở nhiều quốc gia. Cùng năm, Bộ Thương mại Mỹ đưa Candiru vào danh sách trừng phạt.
Bill Marczak, nhà nghiên cứu cấp cao tại Citizen Lab, từng dẫn dắt nghiên cứu về Candiru năm 2021. Ông cho biết AdFection cho phép kẻ vận hành tự động tấn công những cá nhân cụ thể bằng phần mềm gián điệp khi họ dùng ứng dụng hoặc lướt web. "Người bị tấn công theo cách này sẽ không thấy gì bất thường. Thậm chí, họ có thể không nhìn thấy quảng cáo nào", ông nói.
Tính cá nhân hóa thành công cụ nhắm mục tiêu
Phần lớn quảng cáo trên web và ứng dụng hiện nay được hiển thị qua đấu giá thời gian thực, một phiên đấu giá tự động kéo dài vài mili giây để các nhà quảng cáo trả giá đưa nội dung tới từng người xem. Trong quá trình đó, bên mua có thể thu về lượng lớn dữ liệu về thiết bị, vị trí và lịch sử duyệt web của người dùng.
Theo Citizen Lab, Discover-Tech vận hành nền tảng quảng cáo Controlium, cho phép khách hàng bỏ ẩn danh, lấy "dấu vân tay" và tự động lây nhiễm thiết bị ngay khi quảng cáo xuất hiện. "Dấu vân tay" ở đây là tập hợp đặc điểm kĩ thuật đủ để nhận diện riêng từng máy.
"Khả năng đẩy nội dung tùy ý, riêng cho từng người dùng là đặc trưng của quảng cáo trực tuyến hiện đại. Nó hoàn toàn phù hợp với ngành phần mềm gián điệp", Marczak nhận định.
Quy mô của mạng lưới lớn hơn nhiều so với 45 thiết bị bị nhắm. Nhóm nghiên cứu ước tính hàng triệu thiết bị đã bị dẫn tới máy chủ của Candiru, nơi chúng có thể bị lập hồ sơ.
Citizen Lab đã phân tích dữ liệu đấu giá quảng cáo bị để lộ công khai trên website của Discover-Tech. Theo nhóm nghiên cứu, quảng cáo gắn với công ty này, có chèn thẻ mã của kẻ tấn công, đã xuất hiện trên hơn 70.000 ứng dụng di động và hơn 120.000 website từ tháng 3 đến tháng 6 năm nay. Một số ứng dụng hiển thị hơn 1 triệu quảng cáo của Discover-Tech.
Không phải quảng cáo nào trong số đó cũng mang mã độc. Tuy nhiên, nhóm nghiên cứu đã ghi nhận quảng cáo của Discover-Tech trên mạng của NATO, Liên Hợp Quốc, các cơ quan lập pháp châu Âu, nhà cung cấp hạ tầng trọng yếu tại Australia, cùng quân đội và cơ quan chính phủ Na Uy, Thụy Điển.
Điều đáng nói nằm ở chỗ kẻ tấn công không cần chế tạo công cụ nhắm mục tiêu riêng. Cơ chế giúp một hãng giày tìm đúng người vừa xem giày cũng có thể giúp họ tìm đúng chiếc điện thoại cần xâm nhập.
Từ lời chào hàng đến dấu vết trên nhật kí mạng
Ý tưởng dùng quảng cáo để cài phần mềm gián điệp đã xuất hiện từ trước. Năm 2023, báo Haaretz (Israel) tiết lộ công ty Insanet đã phát triển cách phát tán phần mềm gián điệp qua mạng quảng cáo, với công cụ Sherlock có thể lây vào máy tính Windows, điện thoại Android lẫn iPhone. Khi đó, giới phân tích cho rằng còn quá sớm để đánh giá đầy đủ năng lực của công cụ này.
Một năm sau, tài liệu Haaretz thu thập được cho thấy Intellexa, hãng đứng sau phần mềm gián điệp Predator, từng trình diễn bản thử nghiệm hệ thống Aladdin vào năm 2022. Hệ thống này được thiết kế để cài phần mềm gián điệp vào một chiếc điện thoại cụ thể thông qua quảng cáo trực tuyến.
Tháng 12/2025, cuộc điều tra "Intellexa Leaks" do Inside Story, Haaretz và nhóm WAV Research Collective thực hiện, với phân tích kĩ thuật của Tổ chức Ân xá Quốc tế (Amnesty International), cho rằng Aladdin đã được dùng trong các đợt triển khai Predator năm 2024. Google cho biết các quảng cáo này chuyển hướng thiết bị tới máy chủ phát tán mã khai thác của Intellexa. Công ty tình báo mối đe dọa Recorded Future chỉ ra hai công ty quảng cáo nhiều khả năng gắn với hệ thống này là Pulse Advertise và MorningStar TEC.
Dù vậy, phần lớn bằng chứng trong vụ Intellexa đến từ tài liệu nội bộ bị rò rỉ, còn cách lây nhiễm cụ thể chưa được công bố. AdFection khác ở chỗ dựa trên nhật kí mạng thực tế từ thiết bị của một tổ chức có danh tính, đối chiếu với dữ liệu đấu giá quảng cáo.
Theo Marczak, việc những chiến dịch như vậy hiếm khi lộ ra chủ yếu là vấn đề tầm quan sát. Nhật kí mạng của Al Jazeera là chìa khóa để nhận ra cuộc tấn công đi qua quảng cáo. Nếu điện thoại cá nhân bị nhắm khi đang dùng Wi-Fi gia đình hay dữ liệu di động, sẽ không có mức giám sát mạng tương đương. "Người phòng thủ phải ở đúng chỗ, đúng lúc, nhìn vào đúng dữ liệu", ông nói.
Ngành quảng cáo ra tay, người dùng ít lựa chọn
Sau cuộc điều tra chung với Citizen Lab và công ty an ninh mạng Confiant, Google đã chặn Discover-Tech khỏi các nền tảng quảng cáo của mình vì vi phạm chính sách một cách có hệ thống. Hãng cũng bật cảnh báo Safe Browsing để bảo vệ người dùng khi họ truy cập các website gắn với nhóm này.
Nhánh châu Âu của Hiệp hội Quảng cáo Tương tác (IAB Europe) đã đình chỉ Discover-Tech khỏi danh sách nhà cung cấp toàn cầu của tổ chức sau một đợt kiểm tra chính sách. Theo người phát ngôn của IAB Europe, nếu phát hiện về phần mềm gián điệp được xác nhận thêm, công ty này có thể bị khai trừ hẳn. Beeswax, công ty công nghệ quảng cáo thuộc tập đoàn Comcast, cũng đã gỡ Discover-Tech khỏi nền tảng sau khi một chuyên gia an ninh độc lập xác minh hoạt động của công ty này.
Với người dùng, lựa chọn phòng vệ hạn chế hơn nhiều. Theo Marczak, gần như không có cách nào ngoài chặn quảng cáo triệt để nhất có thể trên mọi website và nền tảng. Đây cũng là biện pháp mà các cơ quan tình báo Mỹ như NSA và CIA được cho là đã áp dụng từ lâu.
Tuy vậy, cách phòng vệ này cũng có giới hạn. Các trình chặn quảng cáo phổ biến thường được cài trên trình duyệt, nên chỉ bảo vệ những trang web mở trong trình duyệt đó, trong khi quảng cáo của Discover-Tech xuất hiện trên hơn 70.000 ứng dụng di động. Chặn ở cấp DNS, tức lọc tên miền quảng cáo cho toàn bộ thiết bị, bao quát được cả ứng dụng, nhưng chỉ có tác dụng với những tên miền đã nằm trong danh sách lọc. Riêng với iPhone, cây bút Nick Heer của trang Pixel Envy nhận xét gần như chưa có cách chặn quảng cáo đủ dễ dùng cho người dùng phổ thông.
Marczak cho rằng vấn đề nằm ở cấu trúc của thị trường quảng cáo. "Chừng nào kiến trúc này chưa thay đổi, hoặc các công ty quảng cáo chưa nghiêm túc thẩm định khách hàng, chúng ta sẽ còn thấy kiểu lạm dụng này", ông nói. Wolfie Christl, một nhà nghiên cứu cấp cao khác của Citizen Lab, gọi nguy cơ bị cài phần mềm gián điệp chỉ vì dùng một website hay ứng dụng có quảng cáo là "kịch bản ác mộng".
