시티즌랩 연구진은 온라인 광고를 이용해 기기를 추적하고 표적으로 삼는 스파이웨어 작전을 확인했다고 밝혔다. 알자지라 언론사 직원과 기자들의 기기 45대가 표적이 됐으며, 그중 일부는 이스라엘산 스파이웨어 Candiru에 감염됐다.

연구진에 따르면 광고 사업을 표방하는 이스라엘 기업 Discover-Tech는 상업용 스파이웨어 운영자들의 감시를 도왔다. Discover-Tech의 플랫폼 Controlium은 Candiru 같은 스파이웨어 제작사가 웹사이트와 앱에 광고를 띄워 기기를 식별하고 추적한 뒤 표적으로 삼도록 했다는 의혹을 받고 있다. Candiru는 2025년 Integrity Labs에 인수됐다. Discover-Tech와 Integrity Labs는 논평 요청에 즉시 답하지 않았다.

4개월 동안 광고 기록 40억 건을 분석한 결과, Discover-Tech의 광고는 수십 개국의 웹사이트와 모바일 앱 약 20만 곳에 노출됐다. 광고가 게재된 곳에는 NATO, 유엔, 유럽의회, 유럽위원회, 유럽연합 이사회 등의 기관 웹사이트도 포함됐다.

이 기법은 구글 같은 플랫폼이 광고 공간을 자동으로 판매하고 사용자에게 광고를 표적화할 때 쓰는 실시간 입찰(real-time bidding)을 악용한다. 공격자는 피해자가 악성 링크를 누르게 하는 대신 광고를 이용해 기기를 식별하고, 사용자와의 상호작용 없이 감염을 시도할 수 있다. 이런 방식을 ‘제로클릭’ 감염이라고 한다.

연구진은 Discover-Tech의 광고가 수백만 대의 기기를 Candiru와 관련된 서버로 유도해 대규모 감시와 정찰을 가능하게 했을 수 있다고 밝혔다. 다만 이 기기들이 모두 감염됐다는 뜻은 아니다.