当广告成为武器：零点击监控供应链

广告即载荷

多哈半岛电视台的一名记者用Windows笔记本电脑打开一篇新闻网页。屏幕角落加载了一则广告。恶意软件无需任何点击就自行安装。没有可疑链接，也没有可疑下载。仅仅是看到这则广告就足够了。

这并非科幻小说。这是总部位于多伦多的研究机构公民实验室（Citizen Lab）于2026年10月15日发表调查所得出的结论。该调查揭露了数字基础设施中日益隐蔽的现象：合法广告技术与掠夺性监控的融合。

无人审视的供应链

整个行动的核心是一家名为Discover-Tech的公司。这是一家特拉维夫企业，提供听起来完全正常的服务：帮助广告商寻找目标受众，并在Google、Microsoft、Yandex等平台上竞拍广告位。他们还提供一项名为Controlium的服务。

Controlium正是架构崩溃的节点。根据公民实验室的分析，Controlium允许间谍软件公司利用Discover-Tech从广告合作伙伴处收集的数据来选择目标。一旦选定目标，恶意广告就会被注入到目标访问的网站和应用程序中。恶意软件通过合法广告网络传播——这些网络同样负责输送从Cookie弹窗到产品推荐的一切内容。

该报告的合著者Wolfe Kristol向《福布斯》表示，任何浏览含有在线广告的网站的人都可能成为目标。“很难防范那些持续出现的恶意广告，“Kristol告诉《福布斯》，“广告拦截器应被视为网络安全中的标准防御措施。”

谁被监视

调查聚焦于Candiru，这是一家以色列间谍软件公司。公民实验室指出，Candiru利用了Discover-Tech的系统。在2024年至2025年间，Candiru分发含有恶意软件的广告，攻击了半岛电视台员工拥有的多达45台Windows电脑。

Candiru的能力十分广泛。该恶意软件能够监控感染设备上的消息、电话和位置数据。当《福布斯》联系Candiru时，该公司声称客户并不了解其间谍软件实际上是如何被使用的。

Candiru并非首次引发关注。2021年，该公司曾与针对总部位于伦敦的新闻媒体Middle East Eye的袭击相关联。今年早些时候，在2025年1月，Candiru被美国小型私募股权公司Integrity Partners收购。

Discover-Tech和Candiru均未回应《福布斯》的置评请求。

广告网络的悖论

现代数字广告的基础架构旨在让营销活动高效触达目标受众。正是这种效率使得监控成为可能。

当广告商希望触达报道特定地区的记者时，他们会在这类记者访问的网站竞拍广告位。定位精确，覆盖全球，基础设施横跨每一个主流平台——Google、Microsoft、Yandex。

Controlium实质上允许间谍软件运营商劫持这套定位系统。他们不卖产品，而是卖监控的接入权。广告与合法广告难以区分，分发渠道也相同。唯一的区别在于隐藏在内部的载荷。

为何能广泛传播

通过广告网络投递的零点击攻击并非理论，而是正在发生，此刻就在亚洲及更广泛地区上演。其影响远超出任何单一公司或国家。

对记者而言，风险计算已经改变。你不能仅仅避免点击可疑链接，也不能屏蔽特定的发件人。攻击面是整个互联网——每一个网站、每一个应用程序、每一个你看到的广告。

数字安全供应商需要重新考量他们的策略。传统防御手段聚焦于已知威胁、可疑域名和恶意下载。但这些都无法解决根本问题：合法的基础设施正被用于非法目的。

隐私经济

公民实验室的分析揭示了一个关于数字经济越来越令人不安的现实。广告公司从其合作伙伴处收集的数据可以被用来选择目标。一旦目标选定，恶意内容便通过与其他内容相同的渠道流动。

现代监控架构的构建并不需要复杂的高超黑客技术。它只需要访问每个人都在使用的同一套系统。广告网络、内容分发系统、平台API——这些正是信息和恶意软件共同流通的管道。

Wolfe Kristol的建议很直接：使用广告拦截器。将其视为网络安全中的标准防御措施。这是一个看似微小的建议，却蕴含着巨大的影响。如果保护你自己需要不断调整与互联网的互动方式，那说明某些东西已经坏了。

谁获利，谁受损

在这套架构中获利的是像Candiru和Discover-Tech这样的公司，它们通过看似合法的技术将监控商业化。收购Candiru的美国私募股权公司Integrity Partners，从一项跨越法律与伦理边界的基础设施投资中获得了回报。

受损的是记者、活动人士以及普通公民，他们的通讯在不知情下被监视。他们被瞄准并非因为自己做了什么，而是因为他们在线上了哪些地方。

真正的输家或许是公共利益。当调查记者无法信任自己的通讯是否私密时，能够制约权力的信息便更难产生。

接下来会发生什么

这个故事不会因一份报告而止步。支撑它的架构已嵌入互联网的基础设施之中。每一个投放广告的平台都面临同样的问题：如何区分合法定位与掠夺性监控？

监管机构需要审视广告生态系统内部的数据流动。安全研究员需要开发针对"在光天化日之下隐藏"的攻击的检测方法。记者和新闻编辑部需要重新考量数字卫生习惯——不是作为可选的最佳实践，而是作为必要的防护手段。

公民实验室的调查不过是Cookie弹窗中的一只金丝雀。技术已经存在，供应链已经运转。问题在于是否有人在为此采取行动。

广告即是武器。基础设施即是武器。而唯一的防御，是认识到系统本身已被攻破。