多倫多大學 Citizen Lab 於二零二六年十月十五日發表第 195 號研究報告，首次公開以技術證據確認：僱傭式間諜軟件可經定向網上廣告、在用戶無需點擊的情況下植入裝置；研究人員將此攻擊命名為「AdFection」，並指以色列註冊廣告公司 Discover-Tech 的 Controlium 平台，為包括 Candiru（現以 Integrity Labs 名義運作）在內的僱傭監控供應商，提供去匿名、指紋識別與零點擊感染管道。來源真實性已驗證：以下事實均直接核對自該官方報告及其執行摘要，不另加未經核對數字。
對香港企業資安、金融與媒體機構而言，這意味著「只是瀏覽廣告」已不再是低風險行為——只要瀏覽器或 App 渲染惡意廣告標籤，即可觸發後續利用鏈。下文整理攻擊機制、規模證據，以及對廣告供應鏈與終端防護的含義。
Citizen Lab／官方：揭露 AdFection——定向廣告成零點擊僱傭間諜軟件管道；Discover-Tech Controlium 連接 Candiru，至少四十五部半島電視台裝置遭鎖定
二○二六年十月十五日，多倫多大學 Munk 學院轄下 Citizen Lab 發布報告《Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware》（Citizen Lab Report 195）。作者包括 Bill Marczak、Wolfie Christl、John Scott-Railton、Astrid Perry、Siena Anstis 與 Ron Deibert。來源真實性已驗證：本文以該報告與同日執行摘要為主要事實來源改寫，不複製全文；並對照 TechCrunch、WIRED、衛報等同日報道僅作發現路徑，不以二手數字覆蓋原文。
報告稱，此為首次公開技術確認：零點擊僱傭間諜軟件可經定向網上廣告交付。研究人員將這種攻擊稱為 AdFection，並以高置信度認定國際新聞網絡 Al Jazeera（半島電視台） 的裝置，曾透過 Discover-Tech 購買的惡意廣告，感染 Candiru（重新品牌為 Integrity Labs）的僱傭間諜軟件。報告與資安公司 Confiant 的調查同日發表。
一、核心事件：廣告競價生態被武器化
技術細節
網上廣告多數經即時競價（Real-Time Bidding, RTB）：用戶在 App 或網站看到廣告前，廣告交換所在不足一秒內廣播裝置與用戶特徵，供需求方平台（DSP）出價。Citizen Lab 指出，該生態有兩大可被濫用面向：一是可按流動廣告識別碼、Cookie、IP 等做個人級定向；二是廣告本身可攜帶在瀏覽器或 App 內執行的 HTML／JavaScript「標籤」，而不只是靜態圖像。
Discover-Tech 對外呈現為合法廣告公司，但報告指其實際作為多個僱傭間諜軟件夥伴的「橋樑」。其平台 Controlium 讓夥伴在廣告被渲染的瞬間，對裝置做去匿名、指紋識別，並自動感染——即用戶無需點擊連結或開啟訊息。惡意廣告本身往往不直接內嵌完整利用程式碼，而是按目標裝置再拉取後續 JavaScript，以降低被廣告平台偵測的機會。
Key Findings 寫明：至少 四十五 部半島電視台內部裝置在這些攻擊中被鎖定；研究人員結合網絡日誌、基礎設施指紋與植入行為分析，把 Discover-Tech 基礎設施與 Candiru 間諜軟件分發連結起來。報告亦指 Discover-Tech 與 Intelos、專長流動裝置零點擊的 Bindecy 等僱傭監控生態有連繫，並另預告名為 DARK CARTOGRAPHER 的威脅行為者利用其基礎設施，跨多個流動電訊商將廣告識別碼與電話號碼連結——細節將另文披露。
二、技術原理深度解析
1. 由競價情報到零點擊植入
廣告競價請求本來就會暴露裝置識別、位置、IP 與 App／網站脈絡。報告描述的攻擊鏈大致為：看似無害的定向廣告被展示 → 用戶廣告識別碼與 IP 傳至 Discover-Tech 伺服器 → 若被選為入侵目標，裝置最終收到惡意 JavaScript → 在瀏覽器或 App 內執行並利用漏洞安裝間諜軟件。Citizen Lab 資深研究員 Bill Marczak 在報道中強調，外界早有「廣告可精準鎖定並自動入侵」的討論，如今才有具體技術證據展示整條流程。
2. 十億級競價紀錄揭示覆蓋面
研究人員分析 Discover-Tech 網站上公開暴露的競價紀錄，規模約達 四十億 筆。Key Findings 指：在約四個月期間，該公司廣告出現在近 二十萬 個獨特網站及 Android／iOS App，遍及數十個國家；廣告亦曾秘密引導數以百萬計裝置接觸 Candiru 伺服器，研判用於大規模追蹤與偵察。執行摘要補充：Controlium 用於大規模側寫與去匿名數百萬用戶，再以看似良性、內含零點擊利用的廣告鎖定個別目標。
3. 「認證供應商」與生態系失效
報告指 Discover-Tech 曾出現在 Google 與歐洲互動廣告協會（IAB Europe）等維護的「認證／核准」供應商名單，並經 Google、Yandex、Beeswax 等主要網絡投放；亦曾利用歐盟 GDPR 同意框架在歐盟內定向用戶。Citizen Lab 向廣告商與業界組織披露後，Google、IAB Europe、Beeswax、Vungle（Liftoff）與 Eskimi 已採取行動切斷 Discover-Tech 進入數碼廣告生態的通道；其餘涉事供應商則未在限期內回覆。這說明問題不只是單一「流氓廣告商」，而是認證、審核與即時內容檢測未能阻止長期濫用。
4. 與傳統惡意廣告的分別
惡意廣告（malvertising）並非新事，但報告強調：把國家級／僱傭式零點擊間諜軟件接到全球廣告管道，屬質變升級。傳統防毒或「不要亂點連結」不足以覆蓋「廣告一渲染即執行」的路徑；廣告攔截可降低暴露面，卻難以在所有 App 內建廣告位完全迴避。
四、日常應用場景
1. 開發者與技術團隊
若產品內嵌第三方廣告 SDK 或 SSP 標籤，應視為高權限第三方程式碼執行面：審核供應商名單、限制可執行腳本、監控異常外連網域，並把廣告流量與第一方業務日誌分隔。內部開發者文件網站、狀態頁與管理後台，宜預設關閉或不載入開放競價廣告。
2. 企業與隱私敏感行業
金融、法律、醫療與政府承包商的工作裝置若允許一般網頁廣告，等於把 RTB 側寫與潛在零點擊利用鏈引入受規管環境。宜以瀏覽器企業政策、廣告過濾、DNS／HTTP 過濾，以及分段網絡降低「個人瀏覽習慣」與「生產憑證」同機風險。媒體與 NGO 裝置——如報告中的新聞機構場景——應假設自己可能成為定向目標，而非僅防一般釣魚電郵。
3. 一般用戶
安裝可靠廣告攔截、及時更新瀏覽器與作業系統、避免在工作帳戶瀏覽器登入高價值服務後長時間「裸奔」瀏覽，仍屬實用減損。零點擊並不要求用戶犯錯，但減少廣告渲染機會可收窄攻擊窗。
4. 香港與亞洲市場視角
香港作為國際金融與媒體樞紐，機構裝置同時暴露於全球廣告網絡與跨境威脅情報。金管局近年持續強調銀行業負責任 AI 與營運韌性；同類「供應鏈／第三方程式碼」思維同樣適用於廣告與分析 SDK。亞洲多語內容平台與跨境電商 App 高度依賴程式化廣告，若供應商審查只看 CPM 與認證徽章，可能忽略 Controlium 這類「看起來像 DSP、實際服務僱傭監控」的角色。企業資安演練宜把「惡意廣告標籤」列入與釣魚、漏洞利用並列的情境。
五、專業評價與潛在考量
優勢（就研究本身）
- 官方學術／獨立實驗室報告，附 Key Findings、方法論與對企業往來說明，可核查性高。
- 首次把「零點擊僱傭間諜軟件 × 定向廣告」以技術證據公開，推進業界與監管討論。
- 披露後多家主要廣告商切斷通道，顯示研究具備即時緩解效果。
- 覆蓋競價紀錄規模、企業網絡與 Candiru／Bindecy／Intelos 連繫，非單一個案傳聞。
需要留意的地方
- 報告未指明哪一政府委託攻擊半島電視台裝置；歸因止於僱傭供應商與中介平台層。
- 「四十億競價紀錄」「近二十萬網站／App」「數百萬裝置」均為研究人員對暴露資料集的分析結果，時間窗與完整生態流量未必等同。
- 廣告商切斷 Discover-Tech 並不自動消除其他同類中介或 DARK CARTOGRAPHER 類攻擊面。
- 終端用戶無法單憑肉眼分辨「良性廣告」與 AdFection 式標籤；防護必須系統化，而非個人警覺。
結語
AdFection 把程式化廣告從「隱私與追蹤爭議」推到「零點擊間諜軟件交付管道」的資安危機層級。Citizen Lab 以半島電視台個案與 Controlium 平台，證明僱傭監控供應商可以寄生在看似合法的廣告認證生態中。香港企業若仍把廣告攔截當成可有可無的舒適功能，現在應改視為攻擊面管理的一部分。
如需強化雲端邊界、零信任與供應鏈／第三方程式碼風險控管，可參考 YSK Limited 的雲端遷移與網絡安全服務：https://ysk.hk/services/cloud-security。
參考來源
- Citizen Lab, “Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware,” Report 195, 2026-10-15: https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
- Citizen Lab, Exposing AdFection Executive Summary, 2026-10-15: https://citizenlab.ca/research/exposing-adfection-executive-summary/
- TechCrunch 同日報道（發現路徑，非主要數字來源）: https://techcrunch.com/2026/10/15/citizen-lab-says-governments-are-abusing-online-ads-to-hack-people-with-zero-click-spyware/