AdFection-Opfer: Sicherheitsvorfall
Werbe-Infrastruktur für Zero-Click-Spionageangriffe auf Al Jazeera, Saudi-Arabien, NATO, UN, EU und Techkonzerne missbraucht.

Forschende des Citizen Lab der Universität Toronto dokumentierten unter dem Namen AdFection eine Angriffsmethode, bei der die Infrastruktur der programmatischen Online-Werbung für Spionageangriffe missbraucht wird. Opfer müssen weder Links anklicken noch Anhänge öffnen (Zero Click): Schon das Laden einer manipulierten Anzeige in einer App oder auf einer Webseite genügt.

Als Bindeglied zwischen Werbebranche und Spionagesoftware-Anbietern diente laut Bericht das israelische Unternehmen Discover-Tech. Es war bei Branchenverbänden wie IAB Europe und bei Google als Werbepartner gelistet und belieferte im Frühjahr Hunderttausende Webseiten und Apps mit Anzeigen, darunter Wetter Online, Duolingo, Viber und Dating-Plattformen. Über das Tracking-Ökosystem legte Discover-Tech zunächst Profile von Millionen potenziellen Opfern an.

Die Plattform Controlium diente als zentrale Steuereinheit für Spionagefirmen wie Candiru, Bindecy und Intelos. Bei Anzeigen von Discover-Tech wurden Werbe-ID und IP-Adresse des Geräts an dessen Server übermittelt. Bei Zielpersonen wurde schädlicher JavaScript-Code ausgeliefert, der im Hintergrund in Browser oder App lief, Schwachstellen ausnutzte und das Gerät infizierte. Die Anzeigen selbst enthielten keinen Exploit-Code, wodurch die Täter automatisierte Schutzmechanismen der Plattformen umgingen.

Im Zentrum stand die Spyware der Firma Candiru. Laut Citizen Lab wurden beim katarischen Sender Al Jazeera zwischen 2024 und 2025 mindestens 45 Geräte, vor allem Windows-Rechner, über manipulierte Anzeigen infiziert, wie interne Logdaten belegen. Auch das Außenministerium Saudi-Arabiens geriet offenbar ins Visier. Zudem sollen manipulierte Anzeigen auf Geräten mit Verbindung zu NATO, UN und EU sowie bei Tech-Konzernen und Chip-Herstellern ausgespielt worden sein.

Google und IAB Europe entfernten Discover-Tech nach Bekanntwerden der Studie von ihren Plattformen und Vermarkterlisten und nannten systemische Richtlinienverstöße.

Das Bundesamt für Verfassungsschutz sieht ein erhebliches Gefährdungspotenzial.