✓ 15 октября 2026 года Citizen Lab опубликовал расследование AdFection — первый публично подтверждённый случай доставки zero-click spyware через таргетированную интернет-рекламу. Исследователи описали, как инфраструктура adtech использовалась не только для выбора аудитории и показа баннера, но и для идентификации человека, профилирования устройства и последующей попытки заражения без клика по объявлению.
Для маркетинга это важная граница. Раньше безопасность рекламной кампании обычно сводили к защите аккаунта, проверке посадочной страницы, борьбе с фродом и контролю соседства с нежелательным контентом. Новое расследование показывает более широкий риск: цепочка поставок рекламы сама может стать каналом атаки, даже если креатив выглядит обычным, а пользователь ничего не нажимает.
Это не означает, что programmatic-реклама стала небезопасной целиком или что брендам нужно немедленно остановить кампании. Но привычной проверки CPM, viewability и brand safety уже недостаточно. К списку контроля придётся добавить происхождение рекламного трафика, состав технологических посредников, права доступа, порядок расследования инцидентов и техническую проверку креативов.
Что установили исследователи
Citizen Lab связывает операцию с израильской компанией Discover-Tech и её платформой Controlium. По версии исследователей, система позволяла использовать рекламные идентификаторы, IP-адреса и другие сигналы, чтобы распознавать устройства, сопоставлять их с целями и передавать выбранного пользователя инфраструктуре поставщика коммерческого spyware.
Ключевая особенность — отсутствие обязательного действия со стороны человека. В обычной схеме malvertising жертву пытаются убедить открыть ссылку, установить приложение или ввести данные на поддельной странице. В описанном Citizen Lab сценарии достаточно загрузки объявления: решение о дальнейшем действии принималось внутри инфраструктуры после проверки устройства и цели.
Исследование связывает эту схему с заражением как минимум 45 устройств сотрудников Al Jazeera в 2024–2025 годах. Citizen Lab также пишет, что объявления Discover-Tech распространялись через большое количество сайтов и приложений. Reuters со ссылкой на Citizen Lab и компанию Confiant сообщил о присутствии рекламы более чем на 120 тысячах сайтов и в 75 тысячах приложений. Масштаб показов при этом нельзя приравнивать к числу заражений: подавляющее большинство контактов могло использоваться для профилирования или отбора, а подтверждённые инфекции относятся к ограниченному набору целей.
Именно это различие важно для корректной оценки. Показ объявления, сбор сигнала, идентификация устройства, попытка эксплуатации и подтверждённое заражение — разные события. Объединять их в одну цифру значит превращать серьёзное техническое расследование в сенсационный, но неточный заголовок.
Почему это проблема всей рекламной цепочки
Programmatic-экосистема устроена как сеть участников. Между рекламодателем и пользователем могут находиться агентство, DSP, рекламная биржа, SSP, паблишер, верификационные сервисы, поставщики данных и технические подрядчики. Аукцион проходит за доли секунды, а часть информации передаётся между системами автоматически.
Такая архитектура полезна для масштаба и измерения, но затрудняет ответ на простой вопрос: кто именно исполнил код на устройстве пользователя и на каком основании получил данные. Если каждый участник проверяет только своего непосредственного контрагента, риск может пройти через несколько уровней перепродажи инвентаря.
Citizen Lab описывает не единичный вредоносный баннер, случайно попавший в сеть, а использование нормальных механизмов таргетированной рекламы как части разведки и доставки. Поэтому одной модерации картинки и текста недостаточно. Проверять нужно техническое поведение креатива, цепочку редиректов, сетевые запросы, сценарии cookie matching и изменения после допуска кампании.
Реакция отрасли уже началась
IAB Europe сообщил, что Discover-Tech приостановлена в Global Vendor List после аудита в рамках программ соответствия Transparency and Consent Framework. Организация указала на выявленные нарушения политик TCF и заявила, что приостановка сохранится до устранения нарушений и повторной проверки. Также IAB Europe отметил, что дальнейшее подтверждение опубликованных выводов может стать основанием для окончательного исключения компании.
По данным Citizen Lab и Reuters, доступ Discover-Tech ограничили и несколько рекламных платформ. Это важная реакция, но она не решает системную задачу автоматически. Удаление одного поставщика не отвечает на вопросы о том, как быстро обнаруживать аналогичное поведение, как отзывать доступ во всех связанных системах и как уведомлять клиентов, паблишеров и потенциально затронутых пользователей.
Для бренда вывод не в том, что отраслевые списки и сертификации бесполезны. Они остаются необходимым слоем контроля. Но статус одобренного поставщика нельзя считать бессрочной гарантией. Его нужно дополнять собственным мониторингом, договорными обязательствами и процедурой быстрого отключения.
Что проверить рекламодателю
Карта поставщиков
Составьте фактическую схему закупки медиа: какие DSP, биржи, сети, реселлеры и верификационные сервисы участвуют в кампании. Для каждого звена зафиксируйте юридическое лицо, технический домен, назначение, тип данных и срок хранения. Фраза «закупаем через programmatic» слишком общая для управления риском.
Особое внимание нужно уделить открытым биржам и расширениям аудитории, где инвентарь может проходить через несколько посредников. Если агентство не может показать цепочку поставки или объяснить, где применяется ads.txt, app-ads.txt и sellers.json, это повод не расширять бюджет до устранения пробела.
Политика креативов и тегов
Запретите неподтверждённые сторонние скрипты, динамическую подмену после модерации и загрузку ресурсов с неизвестных доменов. Для HTML5-креативов полезны автоматическая распаковка, статический анализ, сетевой sandbox и повторная проверка уже работающего объявления — не только файла, который был загружен при запуске.
Креативные теги должны быть версионированы. Команда обязана знать, кто изменил код, когда это произошло и какая версия показывалась в конкретный период. Без журнала расследование превращается в спор между подрядчиками.
Права и доступы
Разделите права на создание кампаний, загрузку кода, изменение трекинга и публикацию. Внешнему подрядчику не нужен постоянный административный доступ ко всему рекламному стеку. Используйте отдельные учётные записи, многофакторную аутентификацию, короткие сроки токенов и регулярный отзыв неиспользуемых интеграций.
Отдельно проверьте серверные подключения и API. Защищённый вход в рекламный кабинет не помогает, если забытый технический пользователь может менять теги или выгружать аудитории.
План инцидента
До проблемы определите, кто имеет право немедленно остановить показы, заблокировать домен или поставщика и сохранить доказательства. Нужны контакты платформы, агентства, службы информационной безопасности, юристов и ответственного за коммуникацию.
Минимальный набор сохраняемых данных — идентификатор кампании, версия креатива, домены запросов, время показа, площадка, источник инвентаря и журнал изменений. Персональные данные при этом нельзя собирать «на всякий случай»: объём и срок хранения должны соответствовать заявленной цели и применимым правилам.
Что меняется для агентств
Агентству уже недостаточно обещать клиенту размещение в проверенных сетях. Оно должно уметь доказать происхождение инвентаря и объяснить, как контролирует субподрядчиков. В медиадоговоре стоит отдельно закрепить:
- перечень разрешённых платформ и реселлеров;
- запрет скрытой передачи закупки другому посреднику;
- требования к технической проверке тегов;
- срок уведомления об инциденте;
- право клиента на журнал изменений;
- порядок экстренной остановки;
- обязанность содействовать расследованию;
- правила удаления и возврата данных после завершения кампании.
Эти пункты не заменяют технический контроль, но убирают опасную неопределённость. Если инцидент произойдёт ночью или в выходной день, команда должна действовать по заранее согласованной процедуре, а не выяснять, у кого есть номер менеджера площадки.
Что проверить паблишеру
Паблишер рискует не меньше рекламодателя: вредоносное объявление загружается на его сайте или в приложении и подрывает доверие к его продукту. Поэтому монетизацию нельзя оценивать только по fill rate и доходу на тысячу показов.
Нужны разрешённый список партнёров, контроль цепочек реселлинга, сканирование креативов, мониторинг необычных запросов и быстрый kill switch. Полезно разделять рекламные контексты от основных функций приложения и минимизировать доступ к идентификаторам устройства. Любое новое SDK следует рассматривать как изменение поверхности атаки, а не как нейтральное подключение источника дохода.
Проверка должна продолжаться после запуска. Вредоносное поведение может включаться выборочно — для конкретного устройства, страны, сети или времени — и не проявляться во время обычной модерации.
Как изменить метрики brand safety
Brand safety традиционно отвечает на вопрос, рядом с каким контентом показан бренд. После AdFection модель стоит расширить ещё двумя вопросами: какой код исполняется при показе и кто получает сигнал о пользователе.
В отчёт кампании можно добавить операционные показатели:
- долю расходов через прямые и прозрачные цепочки;
- число неавторизованных посредников;
- долю креативов, прошедших повторное сканирование;
- время от обнаружения аномалии до остановки;
- количество доменов и SDK, которые получают данные;
- долю поставщиков с актуальной проверкой и понятным владельцем;
- число исключений, которым не назначен срок пересмотра.
Эти метрики не доказывают отсутствие атаки, но делают контроль измеримым. Команда видит не абстрактное обещание безопасности, а конкретные слабые места рекламной цепочки.
Как провести внеплановый аудит за один рабочий день
Начните с активных кампаний с HTML5-креативами, сторонними тегами, открытым обменом и большим числом площадок. Выгрузите список доменов и приложений, затем сопоставьте его с разрешёнными поставщиками. Проверьте, нет ли неизвестных реселлеров, резких изменений объёма или запросов к новым доменам.
Далее выберите несколько фактических показов и восстановите путь: рекламный кабинет → DSP → биржа → SSP → площадка → сетевые запросы креатива. Если часть пути нельзя объяснить, не пытайтесь закрыть пробел средним показателем качества. Ограничьте этот маршрут до получения подтверждения.
После технической проверки обновите договорные контакты и проверьте kill switch. Тестовая остановка одной небольшой кампании покажет, действительно ли команда может прекратить показы быстро и сохраняются ли необходимые логи.
При комплексном digital-продвижении такой аудит полезно встроить в обычный цикл управления рекламой: вместе проверять медиаплан, аналитику, доступы, поставщиков и путь данных, а не разделять эффективность и безопасность на несвязанные процессы.
Главный вывод
Расследование AdFection не отменяет автоматизированную закупку рекламы. Оно отменяет удобное допущение, что показ — технически нейтральное событие, а риск появляется только после клика.
Для маркетолога новая задача — отвечать не только за аудиторию, цену и результат, но и за безопасный путь объявления до пользователя. Чем больше посредников и исполняемого кода, тем важнее наблюдаемость: кто участвовал, что загрузилось, какие данные ушли и как быстро можно остановить процесс.
Доверие к digital-рекламе теперь зависит от способности доказать безопасность цепочки поставки. Прозрачный инвентарь, минимальные права, непрерывная проверка креативов и готовый план инцидента становятся не дополнительной функцией IT, а частью качества маркетинга.