你在网上看到的一则普通广告，可能只是一则广告。但多伦多大学公民实验室（Citizen Lab）本周四发布的一项重磅调查揭示：以色列广告科技公司Discover-Tech多年来一直在利用看似普通的网络广告，把间谍软件植入目标设备——其中包括半岛电视台至少45台设备（Al Jazeera）。

这份由公民实验室与广告反欺诈公司Confiant联合完成的报告指出，这是研究人员首次发现以"零点击"（zero-click）方式实施、且通过精准定向广告投放的攻击实例：受害者甚至不需要点击广告，仅仅是广告在页面上加载，就足以触发攻击。

发生了什么

半岛电视台的技术团队早在2024年就发现，部分记者设备的网络流量出现了异常模式，这种异常一直持续到2025年。在初步内部调查后，电视台将情况转交给多伦多大学的公民实验室进行深入分析（Reuters）。

调查结论令人震惊：总部位于特拉维夫的广告公司Discover-Tech购买了带有恶意代码的广告位，把设备引向间谍软件厂商Candiru的恶意程序。公民实验室的报告确认，2024年至2025年间，至少45台半岛电视台的Windows设备因此被入侵，其中包括多名报道敏感议题的记者的设备。

半岛电视台本周发表声明，谴责针对其员工设备的间谍软件攻击，称将继续"保护员工和系统"，并指出针对记者的行为是"对新闻自由和公众知情权的攻击"，要求将责任人绳之以法（Al Jazeera）。

"Controlium"：广告如何变成黑客工具

报告的核心发现是一个名为"Controlium"的平台。研究人员称，Discover-Tech表面上是一家普通的在线广告公司，实际上是为黑客组织提供攻击管道的中间商：它把恶意广告铺遍整个网络，让其间谍软件合作伙伴能够"精准画像并去匿名化数百万个人、采集设备指纹，并通过零点击攻击锁定目标"（ThePrint）。

攻击流程大致是这样的：恶意代码被嵌入普通广告；当广告在网页上渲染时，系统先评估设备的指纹特征，然后静默投递恶意JavaScript——整个过程无需用户点击任何东西。在某些情况下，Discover-Tech甚至尝试从智能手机用户那里提取电话号码。攻击者还能利用IP地址、移动广告ID或浏览器标识符来"选中"要感染或画像的用户。

这种方式的可怕之处在于它的隐蔽性和规模。全球程序化广告市场每年创造数千亿美元收入，广告主可以通过兴趣、位置和浏览习惯精准投放广告——而Discover-Tech把同一套定位能力反向用于攻击。研究人员估计，该公司每天投放至少1000万条广告，覆盖12万多个网站和7.5万个应用。

从五角大楼到国际法院：受害者的广度远超一家媒体

半岛电视台只是冰山一角。Confiant研究员埃利·丹古表示，恶意广告出现在"数百个敏感类别网络"中，包括美国五角大楼、国际原子能机构（IAEA）和国际刑事法院（ICC）的网络；证据还显示，联合国、北约、欧盟委员会以及十多个国家的政府机构都看到过这些广告。芯片公司英伟达、闪迪、博通和美光，以及墨西哥、以色列和欧洲的多家媒体机构的网络中也出现了它们的踪迹（Reuters）。

加沙和约旦河西岸的渗透尤其密集。丹古形容说："你打开巴勒斯坦的几乎任何网站——任何网站——都会看到Discover-Tech的广告。这让他们能够完整掌握整个国家的数字活动。"丹古还估计，"很可能有数亿人接触过Discover-Tech的广告"。

值得一提的是，公民实验室还发现，Discover-Tech不慎将自己的身份验证日志暴露在互联网上，显示有人从以色列、欧洲和海湾地区的IP地址登录该平台——这为判断其运营者所在位置提供了线索。

平台方的回应：封禁与切割

报告发布后，广告平台迅速行动。Google发言人确认Discover-Tech参与了间谍软件的投递，并以"系统性违反政策"为由将其从广告平台封禁；欧洲互动广告局（IAB Europe）表示已因其违反政策将其从全球供应商名单中除名；康卡斯特旗下的广告技术公司Beeswax也切断了与该公司的合作。

讽刺的是，Discover-Tech多年来一直伪装成合法广告公司，出现在Google和IAB Europe的合规供应商名单上——正是这些背书让它得以混入全球程序化广告的管道。

Discover-Tech（成立于2020年）和Candiru均未回应媒体的置评请求。Candiru也被称为Integrity Labs，于2025年被美国投资基金Integrity Partners收购，后者同样未予回应。

背景：Candiru与全球间谍软件产业

Candiru并非无名之辈。美国商务部早在2021年就将其列入黑名单，指控它提供用于恶意攻击政府官员、记者、活动人士和学者的间谍软件。与它齐名的还有以色列的NSO集团——其Pegasus间谍软件曾引发全球丑闻，摩洛哥也被国际特赦组织指控运营大规模监控机器。

但这次事件的不同之处在于渠道。过去的攻击多依赖钓鱼链接或即时通讯软件的零日漏洞，而Discover-Tech案首次把攻击通道搬到了广告交易市场——这个每个人每天都要接触的"基础设施"上。正如今年八州联合起诉OpenAI一案显示的，科技巨头的问责浪潮正在扩大，而间谍软件产业的商业模式也正在寻找更隐蔽的新管道。

对普通用户而言，研究人员的建议很实际：使用广告拦截器、关闭广告追踪、定期重置移动广告ID——尤其对于高风险人群。毕竟，当广告本身成为武器时，"不点击"已经不再等于安全。

常见问题

零点击广告攻击是什么意思？

零点击（zero-click）攻击指受害者无需任何操作——不点击链接、不下载文件——设备就会被入侵。在Discover-Tech案中，恶意代码藏在普通网络广告里，只要广告在网页上加载完成，攻击就自动触发。

半岛电视台有多少设备被入侵？

根据公民实验室的报告，2024年至2025年间，至少45台半岛电视台的Windows设备被Candiru间谍软件感染，其中包括多名报道敏感议题的记者的设备。电视台是在2024年自行发现异常流量模式后，邀请公民实验室介入调查的。

为什么广告平台没有早点发现？

Discover-Tech伪装成合法广告公司，多年来出现在Google和IAB Europe的合规供应商名单上。它的恶意广告混在每天数千万条正常广告中投放，只有在公民实验室和Confiant拿到半岛电视台的网络日志并做关联分析后，攻击链条才被完整还原。

普通人该如何防范这类攻击？

研究人员建议：安装可靠的广告拦截器、在系统设置中关闭个性化广告追踪、定期重置手机的广告标识符（iOS和Android都支持）。对于记者、活动人士等高风险人群，还应保持系统更新，并对设备异常流量保持警惕。