İsrailli bir reklam şirketinin, internet reklamlarını kullanarak dünya çapında milyonlarca kullanıcı hakkında bilgi topladığı ve belirli kişilerin cihazlarına hiçbir etkileşim gerektirmeden bulaşabilen casus yazılımlar yüklediği ortaya çıktı.
İsrail merkezli reklam teknolojisi şirketi Discover-Tech'in, internet reklamlarını kullanarak milyonlarca kullanıcı hakkında bilgi topladığı ve belirli kişilerin cihazlarına hiçbir etkileşim gerektirmeden bulaşabilen casus yazılımlar yüklenmesini sağladığı ortaya çıktı. Toronto Üniversitesi bünyesindeki Citizen Lab'in araştırmasına göre Katar merkezli Al Jazeera gazetesinin onlarca çalışanı da saldırılardan etkilendi.
REKLAM
REKLAM
Son araştırmasında Citizen Lab, İsrailli reklam teknolojisi şirketi Discover-Tech'in çevrim içi reklam altyapısını geniş çaplı gözetleme ve siber saldırı faaliyetlerinde kullandığını tespit etti.
Araştırmaya göre şirket, Controlium adlı yazılım platformu aracılığıyla internet kullanıcılarının kimliklerini ve konumlarını belirleyebiliyor, ardından seçilen hedeflerin cihazlarına casus yazılım bulaştırılmasını sağlayabiliyordu.
Saldırılarda, kullanıcının herhangi bir bağlantıya tıklamasını veya dosya indirmesini gerektirmeyen "sıfır tıklama" (zero-click) yöntemi kullanıldı.
Citizen Lab, bunun hedefli internet reklamlarının sıfır tıklama yöntemiyle casus yazılım dağıtmak amacıyla kullanıldığına ilişkin ilk somut teknik kanıtlardan biri olduğunu belirtti.
Araştırmacılara göre saldırılar, kullanıcıların bilgisi olmadan yalnızca birkaç saniye içinde gerçekleştirilebiliyordu.
Al Jazeera çalışanlarının cihazlarına casus yazılım bulaştırıldı
Araştırma, Katar merkezli yayın kuruluşu Al Jazeera'nın bazı çalışanlarının cihazlarında şüpheli faaliyetler tespit etmesi üzerine başlatıldı.
Al Jazeera'nın kurum içi teknoloji ekibi, ilk olarak 2024 yılında bazı gazetecilerin kullandığı cihazlarda olağan dışı ağ hareketleri belirledi. Bu faaliyetlerin 2025'te de devam etmesi üzerine kuruluş, Citizen Lab'den kapsamlı bir inceleme yapmasını istedi.
Araştırmacılar, saldırı dönemine ait ağ kayıtlarını analiz ederek cihazların nasıl hedef alındığını ortaya çıkardı.
Citizen Lab'e göre Al Jazeera bünyesinde kullanılan onlarca cihaza, İsrailli casus yazılım şirketi Candiru tarafından geliştirilen yazılımlar bulaştırıldı.
Candiru, gazeteciler, aktivistler ve muhaliflere yönelik gözetleme faaliyetleri nedeniyle 2021'de ABD hükümeti tarafından kara listeye alınmıştı.
Al Jazeera, perşembe günü yaptığı açıklamada çalışanlarını hedef alan casus yazılım saldırılarını kınadı.
Kuruluş, gazetecilerin hedef alınmasının basın özgürlüğüne yönelik bir saldırı olduğunu belirterek sorumluların hesap vermesi çağrısında bulundu.
Reklamlar nasıl casus yazılıma dönüştürüldü?
Citizen Lab'in bulgularına göre Discover-Tech, Controlium adlı platformuyla internet reklamcılığı sistemlerini bir gözetleme aracına dönüştürdü.
Normal koşullarda bir kullanıcı internet sitesini ziyaret ettiğinde, karşısına çıkacak reklam arka planda bir saniyeden çok daha kısa sürede gerçekleştirilen otomatik açık artırmayla belirleniyor.
Bu süreçte reklam şirketleri, kullanıcının cihazı, IP adresi, ilgi alanları ve internet üzerindeki davranışlarına ilişkin çeşitli bilgilere erişebiliyor.
Discover-Tech'in işte bu mekanizmayı kötüye kullandığı belirtiliyor.
Şirketin hazırladığı reklamlar, örneğin bir dijital oyun veya telekomünikasyon hizmetinin sıradan tanıtımı gibi görünebiliyordu. Ancak reklam gösterildiğinde kullanıcının IP adresi ve cihazına ilişkin bilgiler arka planda toplanıyordu. Bu bilgiler, kullanıcıların kimliklerinin belirlenmesi ve hedeflerin seçilmesi için kullanılabiliyordu. Ardından casus yazılım şirketleri, belirlenen hedeflerin cihazlarına kötü amaçlı kod gönderebiliyordu.
Saldırı zincirinin en dikkat çekici özelliği, kullanıcının reklama tıklamasına gerek olmamasıydı.
Citizen Lab araştırmacısı Bill Marczak, internet reklamlarının insanları son derece hassas biçimde tespit etmek ve cihazlarını otomatik olarak ele geçirmek için kullanılabileceğinin uzun süredir tartışıldığını, ancak ilk kez bu sürecin işleyişini gösteren somut teknik kanıtlara ulaştıklarını söyledi.
Casus yazılım telefonlardaki tüm verilere erişebiliyor
Araştırmada adı geçen Candiru casus yazılımı, hedef alınan cihazlardan çok çeşitli hassas bilgileri elde edebilecek yeteneklere sahip. Bunlar arasında e-postalar, mesajlar, fotoğraflar, belgeler, tarayıcı çerezleri ve kayıtlı giriş bilgileri var.
Yazılım ayrıca tuş vuruşlarını kaydedebiliyor, ekran görüntüleri alabiliyor, telefon görüşmelerini kaydedebiliyor ve mikrofon ile kamerayı gizlice etkinleştirebiliyor.
Toplanan bilgilerin tespit edilmeden dışarı aktarılması için şifreli iletişim kanalları kullanılabiliyor. Veriler, güvenlik sistemlerinin dikkatini çekmemek amacıyla küçük parçalar halinde gönderilebiliyor.
Saldırıda kullanılan casus yazılım aracının maliyetinin birkaç milyon dolar olduğu değerlendiriliyor.
Yaklaşık 4 milyar reklam kaydı incelendi
Citizen Lab araştırmacıları, Discover-Tech'in faaliyetlerinin boyutunu belirlemek amacıyla yaklaşık 4 milyar reklam açık artırması kaydını analiz etti.
İnceleme, şirketin reklamlarının dört aylık bir dönemde onlarca ülkedeki yaklaşık 200 bin internet sitesi ile Android ve iOS uygulamasında gösterildiğini ortaya koydu.
Araştırmacılar, 2024 yılından itibaren Yemen, Brezilya, Meksika ve Çekya dahil birçok ülkede milyonlarca kullanıcıya Discover-Tech reklamlarının gösterildiğini belirledi. En çok teklif ise Yemen'de gönderilmişti. Yemen'i sırasıyla Pakistan, Karadağ, Brezilya, Meksika ve Çin izliyordu.
Bu reklamlar aracılığıyla milyonlarca cihazın Candiru tarafından kontrol edilen sunuculara yönlendirildiği tespit edildi.
Söz konusu yönlendirmelerin kullanıcıların izlenmesi, cihaz bilgilerinin toplanması ve potansiyel hedeflerin belirlenmesi amacıyla gerçekleştirildiği değerlendiriliyor.
Ancak Citizen Lab, bir kullanıcının Discover-Tech reklamıyla karşılaşmasının, cihazına mutlaka casus yazılım bulaştığı anlamına gelmediğini özellikle vurguladı.
Reklamların gösterilmesi, geniş çaplı veri toplama ve hedef belirleme faaliyetlerinin parçası olabilirken, casus yazılım bulaştırılması daha dar bir hedef grubuna yönelik gerçekleştiriliyordu.
NATO ve BM ağları da reklamlarla karşılaştı
New York merkezli reklam güvenliği şirketi Confiant'ın yürüttüğü ayrı bir araştırma da Discover-Tech'in reklamlarının son derece hassas kurumsal ağlarda görüntülendiğini ortaya koydu.
Bu ağlar arasında ABD Savunma Bakanlığı (Pentagon), Birleşmiş Milletler, NATO, Uluslararası Ceza Mahkemesi ve Uluslararası Atom Enerjisi Ajansı ile bağlantılı sistemler de var.
Avrupa ve ABD'deki çeşitli devlet kurumları, savunma kuruluşları ve ulusal siber güvenlik kurumlarıyla ilişkili ağlarda da şirketin reklamlarına rastlandı.
Ancak araştırmacılar, bu kurumların ağlarında reklam gösterilmiş olmasının sistemlerine sızıldığı anlamına gelmediğinin altını çiziyor.
Google şirketin reklam sistemlerine erişimini kesti
Araştırmanın bulguları, dijital reklamcılık sektöründeki büyük şirketleri de harekete geçirdi.
Citizen Lab'e göre Discover-Tech, daha önce Google ve Avrupa dijital reklamcılık kuruluşu IAB Europe tarafından tutulan onaylı veya sertifikalı reklam sağlayıcısı listelerinde yer alıyordu.
Bu durum, şirketin faaliyetlerini büyük reklam ağları üzerinden sürdürebilmesini sağlıyordu.
Ancak araştırma bulgularının paylaşılmasının ardından Google ve IAB Europe, Ekim 2026'nın başında Discover-Tech'i ilgili sağlayıcı listelerinden çıkardı.
Google ayrıca şirketin reklam borsalarına erişimini sonlandırdı.
Reklam teknolojisi şirketi Beeswax, Discover-Tech'i reklam satın alma platformundan çıkarırken, Liftoff bünyesindeki Vungle şirketin erişimini inceleme tamamlanana kadar askıya aldı. Eskimi ise Discover-Tech'in hesaplarını ve alan adlarını engelledi.
Bu reklamlar hangi uygulamalarda gösterildi?
Rapora göre, saldırgan komut dosyası etiketleri içeren reklamlar, 75 bin 373 farklı Android ve iOS uygulamasının kullanıcılarına; mobil ile masaüstü tarayıcılarda ise 120 bin 768 farklı web sitesinin ziyaretçilerine gösterildi.
Bir milyondan fazla reklam gösteren Android uygulamaları arasında MX Player ve Lark Player: Music Player & MP3 yer alıyor. Mesajlaşma uygulaması Viber ise 700 binden fazla reklam gösterdi. Snap VPN, Truecaller ve VivaCut-AI Video Editor uygulamaları ise yaklaşık yarım milyon reklam gösterdi.
Reklamlar ayrıca, Yahoo Mail gibi e-posta uygulamalarında, Opera Mini gibi tarayıcı uygulamalarında, German Wetter Online gibi hava durumu uygulamalarında, Duolingo gibi öğrenme uygulamalarında, WeMuslim gibi dini uygulamalarda, Period Calendar Period Tracker gibi sağlık uygulamalarında ve Bubble Shooter ve Ludo STAR gibi çok sayıda oyunda da yayınlandı.
Location Share gibi aile takip uygulamalarında ve Badoo ve Grindr gibi flört uygulamalarında da binlerce reklam gösterildi.
iOS uygulamaları, Android uygulamalarına kıyasla daha az reklam yayınladı.
Haber yayınları önde: Hangi web sitelerinde gösterildiler?
Analiz edilen tekliflerin yalnızca yüzde 23,3'ü web tarayıcısında reklam gösterimi içindi.
Saldırgan reklam komut dosyaları içeren bir milyondan fazla reklam gösteren web siteleri arasında Ermenistan (mamul.am) ve Sırbistan'dan (kurir.rs) haber yayınları yer aldı. Bu reklamların 100 binden fazlası Karadağ (dan.co.me, vijesti.me), Yemen (adngad.net) ve Pakistan'dan (whatmobile.com.pk) haber yayınlarında ve diğer popüler sitelerde gösterildi.
Weather.com sitesi yaklaşık 400 bin reklam gösterdi. Ayrıca yahoo.com, AccuWeather.com, tripadvisor.com, yandex.ru'da da çok sayıda reklama rastlandı.
Danimarka (bt.dk), Bosna (slobodna-bosna.ba), Mısır (almasryalyoum.com) ve Kazakistan'dan (vesti.kz) haber sitelerinde de fazla sayıda reklam görüldü.
Bu reklamların yayınlandığı diğer siteler arasında 9gag.com ve foxnews.com, bbc.com, cbc.ca, haaretz.co.il ve nytimes.com gibi popüler haber mecraları da var.
İnternet reklamcılığı yeni bir gözetleme aracına mı dönüşüyor?
Araştırmacılara göre olay, dijital reklamcılık sistemlerinin yalnızca ticari amaçlarla değil, istihbarat toplama ve siber saldırı faaliyetleri için de kullanılabileceğini gösteriyor.
Günümüzde reklam teknolojileri, kullanıcıların internet üzerindeki davranışlarını izleyerek ayrıntılı profiller oluşturabiliyor.
Bu veriler, reklamverenlerin belirli kullanıcılara ulaşmasını sağlarken kötü niyetli aktörler tarafından kişilerin kimliklerini belirlemek, konumlarını takip etmek ve cihazlarını hedef almak için de kullanılabiliyor.
Citizen Lab araştırmacısı Wolfie Christl, büyük reklam sağlayıcılarının şirketin faaliyetlerini yıllarca tespit edememesini veya engelleyememesini ciddi bir güvenlik sorunu olarak değerlendirdi.
Christl'e göre mevcut dijital reklamcılık ekosistemi devletler, özel sektör, sivil toplum ve bireysel kullanıcılar açısından güvenlik tehdidi oluşturuyor.
Araştırmacılar, ABD ve Avrupa'daki siber güvenlik kurumlarına, düzenleyicilere ve yasa koyuculara ilgili şirketler hakkında soruşturma başlatma çağrısında bulundu.
Citizen Lab, özellikle gazeteciler, insan hakları savunucuları, aktivistler ve kamu görevlileri gibi hedefli gözetleme riski taşıyan kişilerin bu tür saldırılardan etkilenebileceği uyarısında bulundu.
Araştırma, reklamcılık sektörünün veri toplama ve hedefleme mekanizmalarının daha sıkı denetlenmesi gerektiğine işaret ediyor.