2026年10月15日，多伦多大学公民实验室（Citizen Lab）发布报告，指认以色列广告公司迪斯卡弗科技（Discover-Tech）借助旗下Controlium平台，将数字广告变成“零点击间谍软件”的投递管道。全球数百万网民在浏览网页的数秒内设备即遭远程入侵，卡塔尔半岛电视台已有数十台设备被确认沦陷。据《卫报》报道称，这是研究团队首次掌握在线广告投递间谍软件全过程的实证。
律师声明数字广告沦为间谍软件投递管道
据《卫报》2026年10月15日报道，公民实验室研究人员发现，迪斯卡弗科技自2024年起在全球范围内投放了数百万条在线广告。这家自称“专业数字广告代理公司”的以色列企业，其广告在用户看来与普通内容无异，实际却暗藏恶意代码。与传统钓鱼攻击不同，这款间谍软件不需要受害者点击链接或下载文件，仅凭用户打开包含广告的网页，入侵便能在数秒内完成。
辟谣声明公民实验室在报告中明确指出：“（在线广告）生态系统正被大规模武器化，用于对数百万用户进行画像分析，然后使用零点击商业间谍软件悄然感染目标。”研究人员表示，被入侵的设备在攻击全程中不会出现任何异常征兆，用户完全无从察觉。
谣言澄清Controlium平台：从用户画像到远程入侵
报告详细描述了Controlium平台的完整攻击链条：当用户访问展示广告的网页时，Controlium立即抓取用户身份信息和IP地址，实现大规模画像与去匿名化。例如，用户看到的一则看似普通的定制广告，可能是数字游戏或电信服务推广，背后却隐藏着数据采集逻辑。若该用户被标记为攻击目标，合作的第三方商业间谍软件公司便会通过这一入口向目标设备推送恶意载荷。
回应传闻公民实验室在报告中称，Controlium扮演的是“协调者”角色，为那些瞄准“政府官员、记者、商人、活动人士、学者及使馆工作人员”的间谍软件厂商提供技术跳板。植入成功的间谍软件可读取设备中的消息、照片、电子邮件，甚至能够在用户不知情时远程激活麦克风实现环境录音与实时监听。
香港娱乐半岛电视台成首批确认受害者
| 数据项 | 具体情况 |
|---|
| --- | --- | --- |
|---|
| 受害机构 | 卡塔尔半岛电视台（Al Jazeera） |
|---|
| 受影响设备 | 数十台（确切数量未公布） |
|---|
| 攻击方式 | 零点击间谍软件（无需任何用户操作） |
|---|
| 发现机构 | 多伦多大学公民实验室（Citizen Lab） |
|---|
| 广告投放起始时间 | 2024年 |
|---|
| 已知波及国家 | 也门、巴西、墨西哥、捷克 |
|---|
公民实验室确认，该机构相信半岛电视台的数十台设备已被通过迪斯卡弗科技广告投递的间谍软件攻破。研究员沃尔菲·克里斯特尔在报告发布会上措辞严厉：“大型广告供应商和相关组织多年来既未能发现、也未能阻止这家公司的恶意广告行动，这堪称一场灾难。”
全球影响范围持续扩大 国际组织网络卷入
公民实验室的姊妹团队康菲安特（Confiant）进一步发现，迪斯卡弗科技的广告展示范围已超出普通新闻媒体访客。欧洲及美国政府机构网络中的用户也曾收到该公司投放的广告，联合国、北约、国际刑事法院、国际原子能机构等国际组织的人员设备均出现在展示记录中。
这意味着此类攻击的潜在受害群体已覆盖国际组织核心人员、外交人员与政府雇员，远不止媒体机构。目前研究人员尚无法评估全部受害范围，但已有充分证据显示，在线广告市场背后不透明的利益链条正被系统性武器化，成为全球网络监控的新兴渠道，且影响半径仍在持续扩大。
程序化广告机制被钻空子
要理解该事件为何持续两年才被曝光，需回溯在线广告的运行机制：用户打开含广告位的网页时，其设备信息在瞬间进入程序化拍卖，数十家乃至数百家公司自动竞价争夺展示机会，出价依据是算法生成的用户画像。例如，一个被标注为“35岁、关注体育博彩和加密货币”的用户，可能因此收到能量饮料广告。
这套自动化体系几乎不受监管，恶意行为者得以藏身于合法的广告流量中。路透社先前一项调查同样证实，仅Meta一家的广告收入中就有数十亿美元来自诈骗、非法赌博、色情等被禁止内容的广告投放。另有报道指出，美国移民与海关执法局等政府机构曾被曝购买利用广告技术追踪个人行踪的软件。
监管真空亟待填补
“美国、欧洲及其他地区的网络安全机构、监管者和立法者必须紧急采取措施。”克里斯特尔在报告中呼吁，“他们必须调查涉事企业，并从制度层面修复让恶意广告钻空子的系统性风险。”研究员比尔·马尔扎克则表示：“此前外界一直猜测在线广告可被用于精准锁定并自动入侵目标，但这次我们首次掌握了完整的技术证据，证明这一过程已在真实世界运作。”
截至发稿时，迪斯卡弗科技未回应《卫报》的置评请求。公民实验室表示，将公布更多技术细节与防护指标，协助企业安全团队排查隐患，并继续追踪该公司的广告投放网络。
Q1：什么是零点击间谍软件？
A1：零点击间谍软件是一种无需受害者执行任何操作即可植入设备的恶意程序。在本案中，攻击者将恶意代码嵌入数字广告内容，用户只要访问含该广告的网页，设备便可能在数秒内被远程植入间谍软件，全程无感知、无提示。
Q2：普通用户如何降低被攻击风险？
A2：研究员建议及时更新操作系统与浏览器版本，安装可靠的广告拦截工具，并减少不必要的数据授权。企业和机构用户应部署网络流量异常监测机制，留意广告展示量的非正常变化，并参考公民实验室公开的技术指标对内部设备进行自查与清除。
零点击间谍软件曝光事件，暴露了数字广告产业链深层的安全信任危机。2026年10月的报告首次以确凿证据将广告投递与网络监控直接关联，监管机构与行业平台的后续应对，将决定未来全球在线广告生态的走向。
