İnternet reklamlarında küresel casusluk ağı ortaya çıktı: 200 bine yakın site ve uygulamada tespit edildi

Kanada'daki Toronto Üniversitesi bünyesinde faaliyet gösteren Citizen Lab'in yayımladığı araştırma, dijital reklam ağlarının küresel çapta siber gözetleme ve casusluk faaliyetlerinde kullanıldığını ortaya koydu.

Araştırmaya göre, İsrail merkezli Discover-Tech şirketi, internet reklamlarının dağıtıldığı sistemlerden yararlanarak kullanıcıların kimliklerini ve cihazlarını tespit etti. Şirketin geliştirdiği altyapı, belirlenen hedeflere kullanıcı etkileşimi gerektirmeyen casus yazılım saldırıları düzenlenmesine olanak sağladı.

Olay, Katar merkezli Al Jazeera televizyonunun çalışanlarına ait cihazlarda şüpheli ağ faaliyetlerinin tespit edilmesi üzerine araştırılmaya başlandı. Citizen Lab tarafından gerçekleştirilen teknik incelemelerde, bazı cihazlara İsrailli Candiru şirketinin geliştirdiği casus yazılımların reklamlar aracılığıyla bulaştırıldığı doğrulandı.

Kullanıcıların bağlantıya tıklaması gerekmiyor

Siber güvenlik uzmanlarının "zero-click" (sıfır tıklama) olarak adlandırdığı yöntemde, hedef kişinin herhangi bir bağlantıyı açması veya dosya indirmesi gerekmiyor.

Araştırmacılara göre Discover-Tech tarafından kullanılan sistemde, sıradan bir internet reklamının görüntülenmesiyle kullanıcının IP adresi ve reklam kimliği şirketin sunucularına iletiliyor.

Cihazın saldırı için seçilmesi halinde, arka planda gönderilen zararlı kodlar güvenlik açıklarından yararlanarak casus yazılımın yüklenmesini sağlayabiliyor.

Bu tür saldırılarda, yazılım üreticileri tarafından henüz giderilmemiş veya kamuoyuna açıklanmamış "zero-day" güvenlik açıklarından da yararlanılabiliyor.

Milyarlarca reklam kaydı incelendi

Citizen Lab araştırmacıları, Discover-Tech'in yaklaşık 4 milyar reklam ihale kaydını analiz etti.

Şirketin, Controlium adlı platform aracılığıyla internet kullanıcılarının IP adreslerini, mobil reklam kimliklerini ve diğer tanımlayıcı bilgilerini eşleştirdiği belirlendi. Sistem sayesinde farklı internet siteleri ve uygulamalar kullanan kişilerin hareketlerinin izlenebildiği, kimliklerinin belirlenebildiği ve seçilen cihazlara zararlı yazılım gönderilebildiği tespit edildi.

Discover-Tech'in Google, Yandex ve Beeswax gibi büyük reklam teknolojisi sağlayıcılarıyla bağlantılı sistemleri kullandığı bildirildi. Araştırmacılar, şirketin reklamlarının Yemen, Brezilya, Meksika ve Çekya başta olmak üzere çok sayıda ülkede milyonlarca cihazla bağlantı kurduğunu belirledi.

Araştırma kapsamında incelenen kayıtlarda, saldırı altyapısıyla bağlantılı kodlar içeren reklamların 75 bin 373 farklı Android ve iOS uygulamasında görüntülendiği tespit edildi.

Aynı reklamların mobil cihazlar ve bilgisayarlar üzerinden erişilen 120 bin 768 farklı internet sitesinde de gösterildiği belirlendi.

Bu platformlar arasında Yahoo Mail, Opera Mini, Duolingo, Grindr ve çeşitli hava durumu uygulamalarının yanı sıra Weather.com, AccuWeather, BBC, Fox News ve New York Times gibi geniş kullanıcı kitlelerine ulaşan internet siteleri yer aldı.

Araştırmacılar, söz konusu uygulama ve internet sitelerinin saldırıları bilerek gerçekleştirdiğine ilişkin bir bulgu sunmadı. Reklamların buralarda görüntülenmesinin, bu platformların kullanıcılarının tamamına casus yazılım bulaştığı anlamına gelmediği vurgulandı.

NATO ve BM ağlarında da tespit edildi

İncelemenin dikkat çeken sonuçlarından biri de şüpheli reklamların uluslararası kuruluşlar ve güvenlik açısından hassas kurumlarla bağlantılı ağlarda görüntülenmesi oldu.

Araştırmada, Birleşmiş Milletler (BM), NATO, Uluslararası Ceza Mahkemesi (UCM) ve Uluslararası Atom Enerjisi Ajansı (UAEA) gibi kuruluşlarla ilişkili sistemlerin reklam gösterim kayıtlarında yer aldığı aktarıldı. ABD Savunma Bakanlığı (Pentagon) da haberlerde adı geçen kurumlar arasında bulunuyor.

Ancak Citizen Lab, bu ağlarda reklam görüntülenmesinin tek başına casus yazılım bulaşmasının kanıtı olmadığını, olası saldırıların ayrıca araştırılması gerektiğini belirtti.

Mesajlardan kameraya kadar erişim sağlanabiliyor

Saldırılarda kullanıldığı belirlenen Candiru casus yazılımının, hedef cihazlara sızması halinde çok sayıda kişisel veriye erişebildiği ifade edildi.

Yazılımın e-postaları, mesajları, fotoğrafları ve belgeleri ele geçirebildiği; tarayıcı çerezlerini ve kayıtlı oturum bilgilerini toplayabildiği bildirildi.

Bunun yanı sıra klavyede yazılanları kaydetme, ekran görüntüsü alma, telefon görüşmelerini izleme ve cihazın kamerasıyla mikrofonunu uzaktan etkinleştirme gibi gelişmiş gözetleme özelliklerine sahip olduğu belirtildi.

Araştırma sürecinde ortaya çıkan bulguların ardından Google, Ekim 2026'nın başında Discover-Tech'in reklam borsalarına erişimini sonlandırdı. Avrupa dijital reklamcılık kuruluşu IAB Europe da şirketi onaylı reklam sağlayıcıları listesinden çıkardı.

Citizen Lab, araştırmanın hedefli internet reklamları üzerinden gerçekleştirilen sıfır tıklamalı casus yazılım bulaştırma saldırılarını teknik bulgularla doğrulayan ilk kamuya açık çalışma olduğunu vurguladı.

Uzmanlar, olayın yalnızca tek bir şirketin faaliyetlerinden ibaret olmadığını, dijital reklamcılık altyapısındaki güvenlik açıklarının küresel çapta gözetleme faaliyetlerinde kullanılabileceğini ortaya koyduğunu belirtti.