İnternet reklamları casus yazılım için kapı aralıyor: Tıklamak bile gerekmeyebiliyor!

Kanada'daki Toronto Üniversitesi bünyesinde faaliyet gösteren dijital araştırma kuruluşu Citizen Lab, İsrailli reklam ajansı Discover-Tech'in internet reklamlarını siber gözetleme amacıyla kullanılabilecek bir araca dönüştürdüğünü açıkladı.

Şirketin, müşterilerinin internet kullanıcıları hakkında geniş çaplı profiller oluşturmasına, kimliklerini belirlemesine ve üçüncü taraf casus yazılımlarla hedefli saldırılar düzenlemesine olanak tanıyan "Controlium" adlı bir platform işlettiği belirlendi.

Tıklamak Gerekmiyor: Sıfır Tıklama Saldırısı

Raporun en çarpıcı bulgusu, sistemin "sıfır tıklama" (zero-click) olarak bilinen saldırı yöntemini kullanabilmesi. Geleneksel siber saldırılarda kullanıcıların zararlı bir bağlantıya tıklaması ya da dosya indirmesi gerekirken, bu yöntemde herhangi bir etkileşime ihtiyaç duyulmuyor. Araştırmacılara göre saldırılar, hedef alınan kişinin haberi olmadan saniyeler içinde gerçekleşebiliyor.

Sistem, dijital oyun ya da telekomünikasyon hizmeti reklamı gibi görünen içerikler üzerinden kullanıcıların kimlik ve IP adresi bilgilerini toplayabiliyor. Daha sonra hedef olarak seçilen kişilerin cihazlarına üçüncü taraf casus yazılım şirketleri aracılığıyla zararlı kod gönderilebiliyor.

Küresel Ölçekte Etkilenen Kurumlar

Citizen Lab, Discover-Tech'in reklamlarının 2024 yılından bu yana Yemen, Brezilya, Meksika ve Çekya dahil birçok ülkede milyonlarca kullanıcıya gösterildiğini bildirdi. Ancak bu durum, reklamları gören bütün kullanıcıların cihazlarına casus yazılım bulaştığı anlamına gelmiyor.

Siber güvenlik araştırma grubu Confiant'ın çalışmaları da söz konusu reklamların aşağıdaki kurumlardaki kullanıcılara gösterildiğine işaret ediyor:

• ABD ve Avrupa'daki kamu kurumları
• Birleşmiş Milletler (BM)
• NATO
• Uluslararası Ceza Mahkemesi
• Uluslararası Atom Enerjisi Ajansı

Telefondaki Tüm Bilgilere Erişilebiliyor

Controlium'un, kamu görevlilerini, gazetecileri, iş insanlarını, aktivistleri, akademisyenleri ve büyükelçilik çalışanlarını hedef alan casus yazılım şirketlerine teknik altyapı sağladığı belirtiliyor. Bu yöntemle yüklenebilen casus yazılımların şu yeteneklere sahip olduğu kaydediliyor:

• Mesajlara, fotoğraflara ve e-postalara erişim
• Telefon görüşmelerini kaydetme
• Cihaz mikrofonlarını gizlice etkinleştirme

Citizen Lab araştırmacısı Bill Marczak, internet reklamlarının kişileri son derece hassas biçimde belirlemek ve otomatik olarak hacklemek için kullanılabileceğinin uzun süredir tartışıldığını ancak bu sürecin işleyişine ilişkin ilk kez somut teknik kanıtlar elde ettiklerini söyledi.

Reklam Sistemine Yapısal Güvenlik Eleştirisi

Araştırma, internet reklamcılığının temelini oluşturan otomatik açık artırma sisteminin de ciddi güvenlik riskleri barındırdığını ortaya koydu. Kullanıcılar reklam içeren bir siteyi ziyaret ettiğinde cihazları ve çevrim içi faaliyetleri hakkındaki bilgiler, çok sayıda şirketin katıldığı ve saniyenin çok küçük bir bölümünde gerçekleşen reklam açık artırmalarında kullanılabiliyor.

Kötü niyetli şirketlerin bu altyapıdan yararlanarak belirli kişileri tespit edebildiği ve hedefli saldırılar gerçekleştirebildiği belirtiliyor.

Citizen Lab araştırmacısı Wolfie Christl, büyük reklam şirketlerinin bu faaliyetleri yıllarca tespit edememesi veya engelleyememesini ciddi bir başarısızlık olarak değerlendirdi. Christl, ABD ve Avrupa'daki siber güvenlik kurumlarını ve düzenleyicileri, ilgili şirketleri soruşturmaya ve reklam ekosistemindeki yapısal güvenlik açıklarını gidermeye çağırdı.

İddialara ilişkin Discover-Tech'ten görüş istendiği ancak şirketin henüz yanıt vermediği bildirildi.