Reklam Görmek Yetiyor: Reklamlar Üzerinden Casus Yazılım Bulaştı

Toronto Üniversitesi bünyesindeki Citizen Lab, 15 Ekim 2026’da yayımladığı Exposing AdFection raporunda, İsrail merkezli reklam teknolojisi şirketi Discover-Tech‘in hedefli internet reklamlarını casus yazılım taşımak için kullandığını açıkladı. Rapora göre telefona ya da bilgisayara bulaşmak için reklama tıklamak gerekmiyor; reklamın ekranda görünmesi yetiyor. Bu yolla en az 45 Al Jazeera çalışanının cihazı, İsrailli casus yazılım şirketi Candiru’nun yazılımıyla hedef alındı.

Citizen Lab ne buldu?

Raporu Bill Marczak, John Scott-Railton ve Ron Deibert’in de aralarında bulunduğu altı araştırmacı hazırladı. Citizen Lab, daha önce Pegasus ve Predator gibi casus yazılımlarla ilgili raporlarıyla tanınıyor. Ekip, yönteme “AdFection” adını verdi ve bunu hedefli reklamlar üzerinden dağıtılan paralı casus yazılımın ilk kamuya açık teknik doğrulaması olarak tanımladı (BleepingComputer).

Araştırmacılar yaklaşık 4 milyar reklam teklifi kaydını inceledi. Bu kayıtlara göre Discover-Tech reklamları Mart ile Haziran 2026 arasındaki dört ayda düzinelerce ülkede yaklaşık 200 bin web sitesi ve uygulamada gösterildi. Şirketin yalnızca bir reklam platformu üzerinden verdiği 3,77 milyar teklifin 442 milyonu kazanıldı; reklamlar 75.373 mobil uygulamada ve 120.768 web sitesinde göründü. Citizen Lab, bu rakamların enfeksiyon sayısı olmadığını, reklam gösterimlerini ifade ettiğini vurguluyor.

Saldırı nasıl çalışıyor?

Bir web sitesini ya da uygulamayı açtığınızda gördüğünüz reklam, milisaniyeler içinde yapılan bir açık artırmayla satılıyor. Bu “gerçek zamanlı teklif” sırasında reklam şirketlerine cihazın IP adresi, mobil reklam kimliği ve çerez gibi bilgiler gidiyor. Dark Reading‘in aktardığına göre Discover-Tech’in Controlium platformu, müşterilerin hedefi tam olarak bu bilgilerle seçmesine imkân veriyordu.

Kötü amaçlı kodun reklam şirketleriyle paylaşılmaması, yöntemi fark edilmesi zor hale getiriyor. Reklamı yayınlayan platform yalnızca zararsız görünen bir etiket görüyor, asıl kod sonradan ve sadece seçilmiş cihazlara gönderiliyor (The Record). Araştırmacılar Al Jazeera’nın sağladığı ağ kayıtlarında bu zinciri adım adım izledi ve Candiru’ya yüksek güvenle atfettikleri bir Windows yazılım örneği elde etti.

Kimler hedef alındı?

Doğrulanan saldırılar Al Jazeera’ya yönelik. Rapora göre 2024 ve 2025’te kanalın en az 45 cihazı Discover-Tech reklamları üzerinden Candiru yazılımıyla hedef alındı. Controlium’un gazeteciler, muhalifler, büyükelçilik çalışanları ve devlet yetkililerine karşı da kullanıldığı belirtiliyor (The Record).

Reklamlar ayrıca NATO dahil ulusal güvenlik açısından hassas ağlarda da göründü. The Record’un aktardığına göre reklam güvenliği şirketi Confiant’ın paralel analizi, reklamların ABD Savunma Bakanlığı, Uluslararası Atom Enerjisi Ajansı ve Uluslararası Ceza Mahkemesi ağlarında da gösterildiğine işaret ediyor. Avustralya Nükleer Bilim ve Teknoloji Kurumu (ANSTO) da etkilenen ağlar arasında sayıldı; kurum sistemlerinde herhangi bir ihlal tespit etmediğini açıkladı (ABC News). Citizen Lab bu ağlarda enfeksiyon kanıtı bulmadı, ancak reklamların cihazları profillemek için kullanılmış olabileceğini belirtiyor (The Register).

Rapor, Discover-Tech altyapısını kullanan ikinci bir grubu da tanımlıyor. “Dark Cartographer” adı verilen bu grup, mobil operatörlerdeki zayıflıkları kullanarak reklam kimliklerini telefon numaralarıyla eşleştirmeye çalışıyor. Citizen Lab, grubun en az 2019’dan beri 30’dan fazla ülkede aktif olduğunu değerlendiriyor ve teknik ayrıntıları ayrı bir raporda yayımlayacağını söylüyor.

Discover-Tech ve Candiru kim?

Discover-Tech kendini bir reklam teknolojisi şirketi olarak tanıtıyor. Citizen Lab ise şirketi paralı casus yazılım firmalarıyla reklam ekosistemi arasında bir köprü olarak tanımlıyor. Rapora göre şirketin CEO’su dijital reklamcılık geçmişine sahip Dekel Boni. Şirket 2020’den 2026’ya kadar Google’ın ve IAB Europe’un onaylı tedarikçi listelerinde yer aldı (Citizen Lab).

Candiru ise yalnızca hükümetlere satış yaptığını söyleyen İsrailli bir casus yazılım şirketi. ABD Ticaret Bakanlığı şirketi 2021’de kara listeye almıştı; şirket son dönemde “Integrity Labs” adını kullanıyor. Citizen Lab, Controlium sistemine Candiru’ya ait olduğunu değerlendirdiği IP adreslerinden giriş yapıldığını da tespit etti. Discover-Tech ve Candiru, Citizen Lab’in ve The Register’ın yorum taleplerine yanıt vermedi (The Register).

Google ve reklam sektörü ne yaptı?

Bulgular paylaşıldıktan sonra Google, Discover-Tech’in reklam borsalarına erişimini kapattı ve şirketi onaylı tedarikçi listesinden çıkardı. IAB Europe de şirketi kendi listesinden çıkardı. Beeswax, Vungle (Liftoff) ve Eskimi de hesapları kapattı ya da ilgili alan adlarını engelledi (BleepingComputer).

Benzer bir yöntem daha önce de gündeme gelmişti. Amnesty International 2025’in sonunda, Intellexa şirketine ait sızdırılmış belgelere dayanarak Predator casus yazılımının “Aladdin” adlı reklam tabanlı bir yöntemle bulaştırılabildiğini belgelemişti. Citizen Lab’in raporu, bu tür bir saldırının gerçek hedeflere karşı kullanıldığını teknik olarak gösteren ilk çalışma oldu.

Telefonunuzu nasıl korursunuz?

Citizen Lab’in önerileri ağırlıklı olarak kurumlara ve reklam sektörüne yönelik: kurum ağlarında hedefli reklamları engellemek, devlet cihazlarında reklam engelleyici kullanmak ve benzersiz reklam kimliklerini kapatmak (Dark Reading). Bireysel kullanıcılar da benzer adımları atabilir:

Hesap güvenliği tarafında iki adımlı doğrulama ve şifre yöneticisi kullanmak, olası bir sızıntının etkisini azaltır.

Henüz netleşmeyenler

Discover-Tech reklamlarının yönlendirdiği milyonlarca cihazdan kaçına gerçekten casus yazılım bulaştığı bilinmiyor. Citizen Lab’e göre bu yönlendirmelerin büyük kısmı büyük olasılıkla takip ve keşif amaçlıydı. Saldırıda hangi telefon ya da tarayıcı açıklarının kullanıldığı, Candiru’nun bu yöntemi hangi müşteriler adına kullandığı ve Dark Cartographer’ın kime bağlı olduğu da henüz açıklanmadı.

Sıkça Sorulan Sorular

Kaynaklar

1. Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware (Citizen Lab, 15 Ekim 2026)
2. Zero-click spyware infecting devices through online ads, researchers say (The Record, 15 Ekim 2026)
3. Spyware vendors found a way to make targeted ads even worse (The Register, 15 Ekim 2026)
4. Targeted ads installed Candiru spyware in zero-click attacks (BleepingComputer, Ekim 2026)
5. AdFection Turns Ad Impressions Into Zero-Click Spyware Delivery (Dark Reading, Ekim 2026)
6. Australia’s nuclear agency targeted with ads linked to spyware that infect devices without a click (ABC News, 19 Ekim 2026)

Daha fazla güncel gelişme: Günün tüm yapay zeka haberleri için Yapay Zeka Haberleri sayfamızı takip et.