广告位变间谍入口，零点击攻击来了

Citizen Lab 刚发了一份报告，看完后背发凉。他们确认了一种叫 AdFection 的新型间谍软件，不需要你点任何链接、下载任何文件，只要广告展示出来，设备就可能被感染。这是首次有实锤证明，政府背景的零点击攻击可以通过在线广告网络来投递。

背后的技术据称来自一家叫 Discover-Tech 的以色列公司。Citizen Lab 的研究员 Bill Marczak 对媒体说，这家公司利用广告生态已经好几年了，把那些你信任的网站和常用 App 变成了零点击间谍软件的投放平台。而 Discover-Tech 对外一直把自己包装成正规广告公司，这层皮扒下来真的挺讽刺。攻击目标名单更让人警觉：半岛电视台的记者和员工，还有北约、欧盟委员会、英伟达、Arm 等机构的官员和雇员。这已经不是小打小闹的定向攻击，而是把全球广告网络当成了武器化的分发渠道。你每天刷的资讯流、用的免费 App，理论上都可能成为跳板。从行业角度看，这件事最大的冲击在于信任链条的断裂。过去我们防钓鱼、防恶意附件，至少还依赖「不点就不会中招」这个底线。现在广告本身成了攻击面，那 DSP、SSP、广告联盟的审核机制基本形同虚设。对做跨境和出海业务的人来说，买量投放的合规风险又多了一层——你投的广告位，可能正被第三方用来干脏活。我的判断是，短期内浏览器和系统层会收紧广告脚本的权限，但广告生态的利益链太深，根治很难。真正该警惕的是，这种能力一旦被更多玩家掌握，普通用户的手机就不再是私密空间。建议做安全的朋友把 AdFection 的 IOC 拉进监控，普通用户则尽量用带广告拦截的浏览器，能少暴露一点是一点。