Израильскую рекламную фирму подозревают в слежке за пользователями Starlink в 105 странах

Израильская рекламная компания скупала показы рекламы пользователям Starlink так, что, по словам исследователей, это похоже на слежку, а не на рекламу. TrendAI, исследовательское подразделение японской компании Trend Micro, выяснило, что участник торгов под кодовым именем SHADOW-EARTH-79 выигрывал около 13% всех рекламных аукционов на трафике Starlink, который удалось изучить, против примерно 3% у среднего участника, и был главным победителем на этом трафике в 105 странах. Шесть источников сообщили Reuters 27 октября, что за кодовым именем стоит Discover-Tech - компания, которую Citizen Lab в отдельном докладе обвиняет в доставке шпионских программ через рекламу.

Как рекламный аукцион выдаёт пользователя Starlink

Прежде чем показать рекламу, приложение или сайт за доли секунды проводят аукцион. Запрос, который получают покупатели рекламы, может содержать IP-адрес пользователя, примерное местоположение, сеть, которой принадлежит адрес, и данные об устройстве: модель, размер экрана. Адреса Starlink входят в собственную сеть SpaceX, AS14593, поэтому любой участник торгов видит, что подключение идёт через спутниковую тарелку. Победитель к тому же может запустить внутри рекламы свой код, который соберёт больше.

TrendAI работало с телеметрией одной платформы закупки рекламы и выделило трафик из адресов Starlink. Активность этого участника была смещена именно к такому трафику, в том числе в странах, где Starlink запрещён или ограничен: Сирии, Судане, Мьянме, Ливии. Reuters со ссылкой на источники добавляет, что он был крупнейшим покупателем рекламы в Сирии, Ливии, Йемене и Южном Судане. В докладе отмечается, что Starlink широко используют в зонах конфликтов, где наземные сети разрушены, и с умеренной или высокой уверенностью делается вывод, что эта активность «работает как инфраструктура для выбора целей и слежки», а не как реклама.

Discover-Tech: компания за кодовым именем

TrendAI компанию не назвало. По данным Reuters, пять источников рассказали, что руководство высказало юридические опасения и исследователи от этой идеи отказались. В тот же день, 15 октября, Citizen Lab при Университете Торонто и компания Confiant, которая занимается безопасностью рекламы, назвали Discover-Tech в отдельном докладе. По данным Citizen Lab, эта израильская компания, зарегистрированная в 2020 году, управляет платформой Controlium: клиенты могут выбирать конкретных пользователей по рекламному идентификатору, cookie или IP-адресу и отправлять им код внутри рекламы. Citizen Lab связывает платформу с производителем шпионских программ Candiru и пишет, что в 2024-2025 годах как минимум 45 устройств в Al Jazeera атаковали шпионской программой Candiru, доставленной через рекламу Discover-Tech.

Google отключил Discover-Tech от своих рекламных бирж, а в начале октября Google и IAB Europe убрали её из своих списков поставщиков. Comcast и другие рекламные платформы тоже от неё отказались, сообщает Reuters. Как минимум одна крупная американская технологическая компания и одна международная организация начали внутренние проверки, не была ли реклама нацелена на их сотрудников. Discover-Tech и SpaceX на запросы не ответили.

Что доказано, а что нет

Данные по Starlink показывают необычные ставки, а не подтверждённую слежку за конкретными людьми. TrendAI оговаривается, что местоположение по IP бывает неточным, а данные получены с одной рекламной платформы. Связь SHADOW-EARTH-79 с Discover-Tech держится на анонимных источниках. Заражения в Al Jazeera - та часть, которую Citizen Lab подтверждает сетевыми журналами и совпадениями в коде.

Как снизить риск

Советы в обоих докладах похожи: регулярно сбрасывать рекламный идентификатор телефона, отключить персонализацию рекламы, ставить блокировщики рекламы и меньше пользоваться приложениями, которые живут за счёт рекламы. TrendAI также советует людям из группы риска включить на iPhone режим блокировки (Lockdown Mode). VPN меняет IP-адрес и сеть, которые видят участники торгов, поэтому аукцион больше не показывает подключение через Starlink, но рекламный идентификатор и данные об устройстве, которые приложения кладут в запросы, VPN не убирает. В списке Citizen Lab VPN упоминается только как сервис со встроенной блокировкой рекламы, и защиту там даёт именно блокировка.