Przez ponad dwie dekady podstawowa rada dotycząca bezpieczeństwa w internecie pozostawała niemal niezmienna: nie otwieraj podejrzanych załączników i nie klikaj w nieznane linki. Była rozsądna, choć nigdy nie gwarantowała pełnej ochrony. Najnowsze ustalenia badaczy cyberbezpieczeństwa pokazują jednak, że w pewnych okolicznościach nie trzeba już niczego klikać. Wystarczy korzystać z internetu i znaleźć się w zasięgu odpowiednio przygotowanej reklamy.

15 października 2026 roku Citizen Lab, laboratorium badawcze działające przy Uniwersytecie Toronto, opublikowało raport opisujący technikę nazwaną AdFection. Ujawniono w nim, że izraelska firma Discover-Tech wykorzystywała globalny ekosystem reklamy internetowej do identyfikowania urządzeń i dostarczania zaawansowanego oprogramowania szpiegowskiego. Badacze powiązali tę infrastrukturę z atakami na co najmniej 45 urządzeń związanych z telewizją Al Jazeera, przeprowadzonymi w latach 2024–2025.

Wykorzystano oprogramowanie Candiru, należące do kategorii komercyjnego spyware, czyli narzędzi umożliwiających przejmowanie kontroli nad urządzeniami i pozyskiwanie przechowywanych na nich informacji. Takie technologie od lat budzą zainteresowanie służb specjalnych i instytucji bezpieczeństwa. Tym razem szczególnie interesujący okazał się sposób dostarczenia złośliwego kodu.

Nie było konieczności wysyłania spreparowanej wiadomości do ofiary. Napastnik wykorzystywał mechanizm reklamy programatycznej, czyli system, za pomocą którego tysiące stron internetowych i aplikacji automatycznie sprzedają powierzchnię reklamową.

W praktyce zwykła reklama mogła stać się początkiem infekcji urządzenia, bez świadomego działania jego użytkownika.

To pierwsze publiczne, techniczne potwierdzenie wykorzystania celowanych reklam do dostarczania komercyjnego spyware metodą zero-click. Wcześniej podobne możliwości opisywano w kontekście innych firm i narzędzi, ale przypadek AdFection dostarczył szczególnie mocnych dowodów operacyjnego zastosowania.

Moim zdaniem najciekawsza część tej historii zaczyna się jednak znacznie wcześniej niż w momencie infekcji. Chodzi o system, który pozwalał atakującym rozpoznawać urządzenia i wybierać konkretne cele spośród ogromnej liczby internautów. System, który nie powstał przecież dla wywiadu, ale dla reklamodawców.

Aukcja, która trwa ułamek sekundy

Współczesna reklama cyfrowa nie przypomina tradycyjnego zakupu powierzchni w gazecie czy czasu antenowego w telewizji. Reklamodawca nie musi negocjować z każdym wydawcą osobno. Wystarczy, że określi grupę odbiorców, budżet i inne parametry kampanii, a odpowiednie systemy zajmą się resztą.

Kiedy użytkownik otwiera stronę internetową lub uruchamia aplikację, w tle może rozpocząć się automatyczna aukcja reklamowa, określana mianem real-time bidding, czyli RTB. W ciągu milisekund rozmaite podmioty podejmują decyzję, ile zapłacić za możliwość pokazania reklamy konkretnemu odbiorcy.

Aby taka decyzja miała sens biznesowy, uczestnicy rynku potrzebują informacji. System może przekazywać między innymi dane o rodzaju urządzenia, systemie operacyjnym, identyfikatorach reklamowych, przybliżonej lub dokładniejszej lokalizacji oraz kontekście wyświetlenia reklamy. Zakres danych zależy od aplikacji, konfiguracji, zgód użytkownika, uczestników aukcji i obowiązujących ograniczeń.

Dla producenta butów sportowych informacje te służą do oszacowania, czy użytkownik jest potencjalnym klientem. Dla przedsiębiorstwa wywiadowczego mogą być elementem ustalania, kim jest ta osoba, gdzie przebywa i jakiego urządzenia używa.

Discover-Tech wykorzystała tę samą architekturę w znacznie bardziej agresywny sposób.

Firma działała w infrastrukturze reklamy programatycznej i posługiwała się platformą MyDSP oraz systemem Controlium. Mechanizm umożliwiał kierowanie przekazu do wybranych identyfikatorów urządzeń. Po wygraniu aukcji reklama nawiązywała kontakt z infrastrukturą kontrolowaną przez firmę. System mógł następnie zbierać dodatkowe informacje o urządzeniu i, w przypadku wybranych celów, uruchamiać dalszy łańcuch dostarczania złośliwego oprogramowania.

Z perspektywy użytkownika reklama nie musiała wyglądać podejrzanie. Nie musiała nawet przyciągać jego uwagi. W określonych warunkach sama aktywność przeglądarki wystarczała do uruchomienia procesu.

Badacze przeanalizowali miliardy zapisów związanych z aukcjami reklamowymi. Znaleźli ślady emisji reklam Discover-Tech na ogromnej liczbie stron i aplikacji, również w sieciach instytucji międzynarodowych, przedsiębiorstw technologicznych i podmiotów związanych z bezpieczeństwem.

Wśród opisywanych środowisk znalazły się sieci NATO, instytucji unijnych i ONZ. Nie oznacza to, że wszystkie zostały skutecznie zainfekowane. Wyświetlenie reklamy jest dowodem kontaktu z infrastrukturą reklamową, nie dowodem przejęcia urządzenia. Pokazuje jednak skalę możliwości dotarcia do potencjalnych celów.

Co szczególnie uderzające, do stworzenia tej infrastruktury wykorzystano mechanizmy legalnego rynku reklamowego. Po ujawnieniu sprawy dostawcy, w tym Google, podjęli działania blokujące Discover-Tech. Trudno jednak uniknąć pytania, dlaczego wcześniej tak rozbudowana działalność nie została skutecznie wykryta.

Od nieuczciwej reklamy do operacji wywiadowczej

Reklamy od dawna były wykorzystywane do przestępstw internetowych. Mechanizm określany jako malvertising polega na używaniu powierzchni reklamowej do kierowania użytkowników do szkodliwych witryn, fałszywych usług i zainfekowanego oprogramowania.

Ofiara szuka programu, widzi sponsorowany wynik wyszukiwarki, przechodzi na stronę wyglądającą jak oficjalny serwis producenta i pobiera instalator. W rzeczywistości instaluje program kradnący hasła, dane przeglądarki, dostęp do portfeli kryptowalutowych lub informacje finansowe.

Przestępcy nauczyli się wykorzystywać również reputację wiarygodnych platform. Reklama w popularnej wyszukiwarce jest dla wielu użytkowników czymś bardziej naturalnym niż wiadomość od nieznajomego. Ten psychologiczny mechanizm zwiększa skuteczność oszustwa.

W kampaniach ujawnianych w 2025 i 2026 roku wykorzystywano między innymi fałszywe instalatory popularnych aplikacji, narzędzi programistycznych i edytorów dokumentów. Część przestępców przejmowała legalne konta reklamowe, aby zwiększyć wiarygodność kampanii. Inni umieszczali instrukcje instalacji na prawdziwych, rozpoznawalnych platformach internetowych, które służyły jedynie jako nośnik niebezpiecznej treści.

AdFection reprezentuje bardziej zaawansowany poziom tej działalności. Reklama nie musi skłonić człowieka do pobrania programu. Może posłużyć do automatycznego dostarczenia exploita, czyli kodu wykorzystującego podatność w oprogramowaniu.

Podobne pomysły pojawiały się już wcześniej w branży komercyjnej inwigilacji. Izraelski system Sherlock, wiązany z firmą Insanet, opisywano jako rozwiązanie wykorzystujące reklamy do infekowania urządzeń. W materiałach dotyczących Intellexy i spyware Predator pojawiało się natomiast narzędzie Aladdin, również związane z reklamowym kanałem dostarczania kodu.

Nie wszystkie deklarowane zdolności tych produktów zostały niezależnie potwierdzone w rzeczywistych operacjach. Nie ma jednak wątpliwości, że przemysł spyware od pewnego czasu badał możliwości wykorzystania infrastruktury reklamowej.

Powód jest prosty. Reklama internetowa daje dostęp do użytkownika w chwili, gdy korzysta on ze zwykłych usług. Nie trzeba znać jego numeru telefonu, posiadać adresu e-mail ani przygotowywać wiarygodnej wiadomości phishingowej. W niektórych przypadkach wystarczy odpowiednio rozpoznać urządzenie.

Ale czy w ogóle trzeba je infekować?

Przemysł, który zna nasze przyzwyczajenia

Tu dochodzimy do zagadnienia znacznie szerszego niż komercyjne spyware. Chodzi o advertising intelligence, określane skrótem ADINT, czyli wykorzystywanie informacji pochodzących z ekosystemu reklamy cyfrowej do celów analitycznych i wywiadowczych.

Współczesny internet wytworzył ogromny rynek danych o użytkownikach. Informacje te są gromadzone przez aplikacje, dostawców usług, pośredników reklamowych i brokerów danych. Następnie mogą być łączone, analizowane i sprzedawane rozmaitym klientom.

Niektóre informacje są pozornie anonimowe. Zamiast nazwiska występuje identyfikator reklamowy telefonu. Zamiast adresu zamieszkania pojawia się seria współrzędnych geograficznych. Zamiast listy znajomych mamy urządzenia regularnie przebywające w pobliżu siebie.

Problem polega na tym, że anonimowość takich zbiorów bywa złudna.

Jeżeli określony telefon każdej nocy przebywa w tym samym budynku mieszkalnym, a w dni robocze regularnie pojawia się w konkretnym miejscu pracy, ustalenie jego prawdopodobnego użytkownika może nie być szczególnie trudne. Wystarczy połączyć te informacje z publicznymi źródłami, rejestrami lub danymi pochodzącymi z innych usług.

Nawet bez nazwiska można odtworzyć znaczną część życia człowieka. Godziny pracy, podróże, wizyty w placówkach medycznych, miejscach kultu religijnego czy obiektach administracji publicznej. Można próbować identyfikować osoby utrzymujące regularne kontakty, określać wspólne trasy i analizować zmiany zachowania.

To oczywiście nie jest automatycznie bezbłędne. Telefony bywają współdzielone, identyfikatory się zmieniają, dane są niepełne lub błędne. Analiza lokalizacyjna może prowadzić do fałszywych wniosków. Przy odpowiednio dużej ilości informacji staje się jednak użytecznym narzędziem rozpoznawczym.

W Stanach Zjednoczonych zjawisko to zostało już dobrze udokumentowane.

Firmy takie jak Venntel czy Gravy Analytics uczestniczyły w rynku komercyjnych danych lokalizacyjnych. Amerykańska Federalna Komisja Handlu podejmowała działania wobec praktyk sprzedaży wrażliwych informacji bez odpowiednich podstaw. Jednocześnie materiały śledcze pokazywały zainteresowanie takimi danymi ze strony instytucji państwowych.

System Locate X przedsiębiorstwa Babel Street był opisywany w kontekście analiz geolokalizacyjnych prowadzonych na potrzeby służb i administracji. Z kolei Anomaly Six demonstrowała możliwości śledzenia urządzeń osób pojawiających się w pobliżu siedzib amerykańskich instytucji wywiadowczych.

Istotą problemu nie jest więc wyłącznie to, czy służby potrafią przełamać zabezpieczenia telefonu. Coraz częściej mogą pozyskiwać informacje o nim z rynku komercyjnego.

Fingerprinting. Tożsamość zapisana w urządzeniu

Jeszcze bardziej interesująca jest możliwość rozpoznawania urządzenia na podstawie jego charakterystyki technicznej.

Fingerprinting, czyli tworzenie cyfrowego odcisku urządzenia lub przeglądarki, polega na analizowaniu kombinacji różnych parametrów. Mogą to być informacje o systemie operacyjnym, konfiguracji przeglądarki, obsługiwanych językach, czcionkach, rozdzielczości ekranu czy sposobie renderowania grafiki.

Niektóre techniki wykorzystują charakterystyczne właściwości przetwarzania obrazu i dźwięku. Inne bazują na danych sieciowych lub kombinacjach identyfikatorów przechowywanych przez aplikacje.

Żaden pojedynczy parametr nie musi pozwalać na ustalenie tożsamości. Połączenie wielu cech może jednak tworzyć profil na tyle charakterystyczny, że system rozpoznaje powracające urządzenie nawet bez tradycyjnego pliku cookie.

Dla reklamodawców jest to sposób utrzymywania ciągłości pomiarów, ograniczania oszustw reklamowych i identyfikowania odbiorców. Dla wywiadu — potencjalna metoda powiązania rozproszonej aktywności cyfrowej z konkretnym człowiekiem.

Wyobraźmy sobie pracownika przedsiębiorstwa produkującego elektronikę wojskową. Korzysta ze służbowego laptopa, prywatnego telefonu i domowego komputera. Każde urządzenie ma inne identyfikatory, ale część aktywności odbywa się z tych samych sieci, w podobnych lokalizacjach i w określonych porach dnia.

Jeżeli podmiot posiada dostęp do wystarczająco dużej liczby źródeł danych, może próbować połączyć te urządzenia w jeden profil. Następnie uzupełnić go o informacje z mediów społecznościowych, rejestrów firmowych, publicznych publikacji czy danych o lokalizacji.

Nie musi wiedzieć wszystkiego. Wystarczy, że potrafi określić prawdopodobne miejsce zamieszkania, regularne kontakty, zwyczaje związane z podróżami i zainteresowania.

W tym sensie fingerprinting nie jest tylko techniką marketingową. Jest jednym z elementów procesu deanonimizacji, czyli odtwarzania tożsamości na podstawie danych, które osobno mogą wydawać się nieszkodliwe.

AdFection pokazuje niebezpieczne połączenie obu światów. Infrastrukturę reklamową można wykorzystać najpierw do identyfikacji i obserwacji urządzenia, a dopiero później do podjęcia decyzji o jego infekcji.

Mocarstwa, które dysponują danymi

W tym miejscu szczególnego znaczenia nabiera pytanie o przewagę technologiczną Stanów Zjednoczonych i Izraela.

USA są centrum globalnego przemysłu cyfrowego. Amerykańskie przedsiębiorstwa odgrywają kluczową rolę w reklamie internetowej, infrastrukturze chmurowej, systemach operacyjnych, usługach mobilnych i analizie danych. Jednocześnie państwo dysponuje rozbudowanym aparatem wywiadowczym oraz rynkiem prywatnych kontraktorów świadczących usługi informacyjne.

W 2023 roku odtajniono raport przygotowany na potrzeby amerykańskiego środowiska wywiadowczego, dotyczący commercially available information, czyli informacji dostępnych na rynku komercyjnym. Dokument wskazywał, że skala i szczegółowość takich danych stwarzają istotne zagrożenia dla prywatności, a ich wykorzystanie może ujawniać bardzo osobiste informacje o obywatelach.

To ważne przyznanie. Państwo nie musi samodzielnie budować infrastruktury zbierania każdej kategorii informacji. Część danych może kupować od przedsiębiorstw, które zgromadziły je w ramach działalności gospodarczej.

Nie oznacza to, że amerykańskie służby mają nieograniczony dostęp do wszystkich danych Google, Apple czy Mety. Poszczególne firmy podlegają regulacjom, posiadają własne zabezpieczenia i nie są jedną państwową bazą informacji. Skala rynku, rozwinięty sektor analityczny i możliwości prawne tworzą jednak szczególne warunki do prowadzenia zaawansowanego rozpoznania.

Izrael reprezentuje nieco inny model. Jest jednym z najważniejszych ośrodków rozwoju komercyjnych technologii cyberwywiadowczych. NSO Group, Candiru, Intellexa i inne przedsiębiorstwa stworzyły ekosystem narzędzi służących do uzyskiwania dostępu do urządzeń i prowadzenia nadzoru.

Część firm i osób związanych z tym sektorem ma doświadczenie w izraelskich strukturach wojskowych i wywiadowczych. Nie uprawnia to jednak do traktowania każdej operacji prywatnego dostawcy spyware jako działania izraelskiego państwa. W przypadku AdFection nie wskazano publicznie rządowego zleceniodawcy ataków na Al Jazeerę.

Interesująca jest natomiast ewolucja samego rynku. Coraz wyraźniej łączy on pozyskiwanie danych, identyfikowanie celów i dostarczanie narzędzi ofensywnych. To działalność przypominająca tradycyjny wywiad, prowadzona jednak przy wykorzystaniu usług i infrastruktury gospodarki cyfrowej.

Podobnych zdolności mogą poszukiwać inne państwa, w tym Chiny. Nie chodzi przy tym wyłącznie o moc obliczeniową. Najcenniejsze jest połączenie dostępu do danych, technologii ich korelowania oraz ludzi zdolnych przekładać wyniki analizy na decyzje operacyjne.

Polski urzędnik, żołnierz i inżynier jako produkt reklamowy

Z polskiej perspektywy szczególnie interesujące są konsekwencje dla administracji publicznej, wojska i przedsiębiorstw strategicznych.

W debacie o bezpieczeństwie cyfrowym koncentrujemy się na atakach na systemy teleinformatyczne, wyciekach dokumentów i oprogramowaniu szpiegowskim. Znacznie rzadziej rozmawiamy o tym, ile informacji na temat osób posiadających dostęp do wrażliwych danych jest dostępnych na rynku reklamowym.

Pracownik zakładów zbrojeniowych nie musi udostępniać tajnych dokumentów, aby stać się interesującym celem rozpoznania. Jego podróże, powtarzające się wizyty w określonych lokalizacjach, kontakty i aktywność zawodowa mogą ujawniać informacje pośrednie.

Dane lokalizacyjne grupy inżynierów mogą wskazywać na współpracę przedsiębiorstw. Regularna obecność pracowników przy określonej instalacji może sugerować wzrost intensywności prac. Nietypowe podróże specjalistów mogą być przesłanką zmian w programie technologicznym.

Takie wnioski wymagają ostrożności i potwierdzania. Sama lokalizacja nie dowodzi charakteru spotkania ani jego celu. Problem polega jednak na tym, że współczesna analityka pozwala tworzyć hipotezy na podstawie sygnałów, które osobno wydają się nieistotne.

Dotyczy to nie tylko przemysłu zbrojeniowego. Podobnie interesujące dla obcych służb mogą być osoby związane z energetyką, telekomunikacją, badaniami naukowymi, technologiami półprzewodnikowymi czy infrastrukturą transportową.

Polska buduje zdolności OSINT, SIGINT i cyberrozpoznania. Powinna jednocześnie traktować ochronę cyfrowej tożsamości osób zajmujących wrażliwe stanowiska jako element bezpieczeństwa państwa.

W praktyce oznacza to potrzebę ograniczania ekspozycji danych reklamowych na urządzeniach służbowych, kontrolowania identyfikatorów reklamowych, odpowiedniego zarządzania aplikacjami i oceny ryzyk wynikających ze zbierania informacji lokalizacyjnych. Nie wszystkie zagrożenia można wyeliminować prostym zablokowaniem reklam. Część danych pochodzi bowiem z aplikacji, pośredników i brokerów, których użytkownik nawet nie jest świadomy.

Równie ważne są rozwiązania systemowe. Unia Europejska ma rozbudowane przepisy ochrony danych osobowych, ale sprawa Discover-Tech pokazuje, że regulowanie zgód reklamowych nie jest tożsame z kontrolowaniem ryzyka wywiadowczego. Potrzebne są mechanizmy weryfikacji uczestników rynku, ograniczania przekazywania nadmiernej ilości danych i identyfikowania podmiotów wykorzystujących reklamę jako narzędzie nadzoru.

Reklama jako infrastruktura wywiadowcza

Największym osiągnięciem współczesnego przemysłu reklamowego jest stworzenie mechanizmu pozwalającego docierać do bardzo precyzyjnie wybranych grup ludzi przy stosunkowo niewielkim koszcie jednostkowym. Przez lata przedstawiano to jako rewolucję efektywności marketingowej.

Z punktu widzenia wywiadu ta sama infrastruktura ma inne, znacznie bardziej interesujące właściwości. Dostarcza informacji o urządzeniach, miejscach, zwyczajach i potencjalnych relacjach między ludźmi. Pozwala wybierać cele, obserwować zmiany ich zachowania i w szczególnych przypadkach podejmować wobec nich działania ofensywne.

Co najważniejsze, znaczna część kosztów funkcjonowania tego systemu jest ponoszona przez zwykłych reklamodawców, wydawców i użytkowników usług cyfrowych.

Nie trzeba więc budować od początku globalnej sieci czujników. Jej elementy już istnieją, są codziennie wykorzystywane i przez większość ludzi traktowane jako zwyczajna część internetu.

AdFection ujawnił jedną z najbardziej agresywnych form nadużycia tej infrastruktury. Nie dowodzi, że każda reklama jest zagrożeniem ani że każda platforma reklamowa współpracuje z wywiadem. Pokazuje jednak, jak niewielka może być odległość między systemem służącym do sprzedaży butów a narzędziem prowadzenia operacji szpiegowskiej.

Być może najważniejszą zmianą w pracy służb nie będzie więc kolejny program potrafiący przejąć telefon. Będzie nią zdolność do wybierania spośród milionów urządzeń tych kilku, które rzeczywiście warto przejąć.

Przez lata przyjmowaliśmy, że ceną darmowych usług internetowych jest oglądanie reklam. Coraz częściej okazuje się, że rzeczywistą ceną jest również tworzenie szczegółowego zapisu naszego życia.

A ten zapis, podobnie jak każda inna wartościowa informacja, może zainteresować nie tylko reklamodawców.