以色列广告技术公司竟成了「雇佣间谍软件」的投放渠道：它们借道 Google、Facebook 等所有主流广告平台实现攻击

Pluralistic: Israeli ad-tech company was a delivery system for "mercenary spyware" (17 Oct 2026) — pluralistic.net · 12 小时前 · 🔒 安全

多伦多大学公民实验室发布的调查报告《Exposing AdFection》揭示了一个令人不安的事实：一家以色列广告技术公司被改造成「雇佣间谍软件」的分发管道，攻击者利用 Google、Facebook 在内的全球主要程序化广告平台，对特定目标人物进行定位，并向其设备投送「零点击恶意软件」——受害者无需点击任何链接、无需任何操作，电脑和手机就会被完全接管。问题的根源在于程序化广告系统的结构性缺陷：各大科技巨头多年来搜集了几乎每一位互联网用户的详尽画像，并为每个人分配了唯一且持久的标识符，相当于给监控行为发放了「全民身份证号」。正是这套精准投放基础设施，让间谍软件运营商得以按名单「点名」投放，把广告竞价系统变成武器。文章作者 Cory Doctorow 引用 Doc Searls 的判断指出，超过半数网民已经安装广告拦截器，这堪称历史上规模最大的消费者抵制运动；但他的结论更激进：所有人都应当拦截所有程序化广告，因为整个广告技术栈的安全性糟糕到不设防就可能让任何人的数字设备被彻底攻陷。这篇文章把隐私议题从「被看广告」升级为「被入侵」的安全议题，说明广告生态的漏洞不再是假设性的风险，而是已被实战利用的攻击面。

核心信息

公民实验室的最新调查报告《Exposing AdFection》查明，一家以色列广告技术公司充当了「雇佣间谍软件」的投放载体：攻击者通过主流程序化广告平台定位目标个体，并推送零点击恶意软件，使受害者的电脑与手机在毫无操作的情况下被完全控制，而 Google 和 Facebook 等巨头平台在整个链条中被劫持利用。
程序化广告系统的核心资产——对几乎所有网民建立详尽监控档案、并分配唯一持久的追踪标识符——恰恰构成了攻击的基础设施。这种「为广告而生的精准定位能力」被间谍软件运营商反向利用，等于每个网民都随身携带一个可供瞄准的固定坐标。
据 Doc Searls 的估计，超过一半的互联网用户已安装广告拦截器，被称为史上最大规模的消费者抵制运动。但作者认为这一防线仍远远不够：由于广告技术全链条安全性堪忧，唯一稳妥的做法是屏蔽所有程序化广告，否则任何设备都有被整体攻陷的可能。
这篇评论将广告拦截从个人偏好问题重新定性为数字安全的必选项：当广告分发网络可以被第三方购买并武器化时，不装拦截器的代价不再只是忍受骚扰，而是承担被国家级或商业间谍行动选中的现实风险。

💡 为什么值得读: 它把「装不装广告拦截器」从个人偏好问题升级成了数字安全的生死题，用一个已被证实的间谍软件投放案例给出了无可辩驳的答案。

✍️ 小编看法: 这则报道最值得玩味的地方在于，它把长期以来被归类为「隐私偏好」的问题，硬生生拽回了「安全底线」的范畴。过去很多人不装拦截器，理由无非是嫌麻烦、想支持创作者，或者觉得「我又没什么值得偷的」。但当定位技术能精确到向名单上的具体个人投送零点击木马时，「看广告」和「被入侵」之间的界限已经彻底消失了。被忽视的代价其实一直存在：程序化广告的每次竞价、每次匹配，都是一次无人审查的数据交易，平台赚走了精准的钱，风险却由用户全盘承担。这次事件的价值在于，它提供了一个无法辩驳的实证案例——不是理论推演，而是真实发生的武器化利用。对行业而言，这意味着广告平台将面临远超隐私合规层面的压力：如果投放管道可以被用来发动定向攻击，监管机构很可能会以国家安全框架而非广告规则来审视它，那才是真正伤筋动骨的监管。对普通读者，我的建议很直接：把拦截器当作和杀毒软件同级的标配，而不是可选项。下一步值得追踪的是各大平台如何回应——是补齐投放方审查机制、限制跨站标识符的精确度，还是继续以「个别供应商违规」的说法切割责任。另外，公民实验室这类机构调查此类事件需要跨国协作和长时间取证，这类独立监督力量的存续本身也值得关注，因为它们是这套灰色生态里几乎唯一的外部纠错机制。

🏷️ spyware, ad-tech, privacy, surveillance