互联网上最常见、也最容易被忽略的东西之一，是广告。

打开新闻网站、浏览天气预报、使用手机应用程序，一条广告可能在页面加载的瞬间出现。它看起来只是一张图片、一段视频，或者一则普通的商业推广信息。

但在广告真正显示出来之前，后台可能已经发生了一连串数据交换：广告系统判断用户的位置、设备类型、浏览环境，并通过自动竞价决定由谁获得展示机会。

这套每天在全球互联网运行的商业基础设施，如今被发现可能具有另一种用途——秘密监控。

10月15日，多伦多大学公民实验室（Citizen Lab）与美国网络安全公司Confiant公布联合调查，指认以色列数字广告公司Discover-Tech利用网络广告生态系统，对全球互联网用户实施大规模追踪，并与商业间谍软件开发商Candiru合作，向特定目标投送恶意代码。

调查涉及政府机构、国际组织、科技企业以及新闻媒体。其中最引人关注的发现，是半岛电视台至少45台Windows设备在2024年至2025年间遭到相关间谍软件入侵。

研究人员将这套技术体系称为“AdFection”。

它所揭示的问题，远不止一家广告公司涉嫌滥用技术。

长期以来，人们担心互联网广告过度收集个人数据。但此次调查显示，广告技术所提供的识别、定位和接触用户的能力，还可能成为商业间谍软件的攻击入口。

广告还没有出现，用户已经被识别

要理解这起事件，首先需要了解互联网广告的运作方式。

当用户打开一个包含广告的网站时，广告位通常会进入自动化交易系统。广告买家根据系统提供的信息，决定是否竞价，以及愿意支付多少费用。

整个过程可能在极短时间内完成。

广告交易所提供的数据并不一定包含用户姓名，但可能涉及IP地址、设备特征、位置、浏览环境以及其他可用于识别或区分用户的技术信息。

这些信息最初被用于商业目的：让广告商能够向潜在消费者展示更相关的产品。

问题在于，精准广告所需要的技术能力，与精准监控存在明显重叠。

广告商希望知道某个人可能对什么商品感兴趣；监控者则可能希望知道某个人使用什么设备、出现在哪里，以及如何再次找到他。

根据公民实验室与Confiant的调查，Discover-Tech利用广告系统建立了广泛的用户追踪能力，并将其用于识别和接触特定目标。

路透社报道指出，相关广告出现在超过12万个网站和7.5万个应用程序中，涉及的网络环境包括美国国防部、北约、国际原子能机构及多家媒体机构。

但这些数字必须谨慎理解。

广告能够进入某个网站或应用程序，并不意味着该网站的运营方参与了监控，更不意味着所有看到广告的人都遭到入侵。

广告的广泛传播能力与间谍软件的实际感染范围，是两个不同概念。

真正危险的，是攻击者可以利用前者寻找、筛选和接近后者。

不必点击，也可能成为攻击目标

传统网络诈骗往往要求受害者采取某种行动。

例如，点击一封伪装成银行通知的电子邮件，打开恶意附件，或者在假冒网站输入密码。

但高级商业间谍软件可能不需要用户主动配合。

研究人员发现，Discover-Tech涉及的攻击技术能够利用广告投送过程，将恶意内容传递给特定设备，并尝试在用户没有点击广告的情况下实施入侵。

这类攻击通常被称为“零点击”攻击。

不过，“零点击”并不意味着任何广告都能自动突破设备防护。成功入侵通常仍取决于设备软件存在可利用的漏洞、攻击代码是否适配目标系统，以及其他技术条件。

此次调查涉及的另一家公司Candiru，是一家以开发高级商业间谍软件而受到关注的以色列企业。

与普通广告追踪不同，间谍软件一旦成功进入设备，可能获得远超广告系统正常权限的访问能力。

对新闻记者而言，潜在后果尤其严重。

记者的电脑不仅可能保存尚未发表的报道，也可能包含采访记录、通信信息和需要严格保护的消息来源资料。

即使攻击者没有窃取全部文件，仅仅掌握记者与哪些人通信、何时联系以及使用哪些设备，也可能造成严重的安全风险。

半岛电视台45台设备遭到入侵

半岛电视台是这项调查中最明确、也最值得关注的受害机构之一。

根据研究人员披露的信息，2024年至2025年间，至少45台属于半岛电视台的Windows设备遭到与此次行动相关的间谍软件入侵。

这不是半岛电视台第一次成为高级监控技术的目标。

2020年，公民实验室曾公布另一项调查，发现半岛电视台记者和工作人员的36部个人手机遭到与以色列NSO集团Pegasus间谍软件有关的攻击。

两次事件涉及不同的技术、时间和商业公司，不能直接认定为同一行动。

但它们反映出一种持续存在的风险：新闻机构及其工作人员正成为高级数字监控的重要目标。

对于半岛电视台而言，问题还具有特殊的地缘政治背景。

这家总部位于卡塔尔的媒体机构长期报道中东战争、巴以冲突和地区政治，其记者经常接触政府官员、冲突参与者以及敏感消息来源。

一旦记者设备遭到入侵，风险就可能超出记者本人。

与他们保持联系的受访者、当地工作人员及消息来源，都可能受到间接影响。

然而，目前公开的调查资料尚不足以确认45台设备中每一台的具体失窃数据，也不能仅凭Discover-Tech与Candiru的以色列公司背景，认定以色列政府直接指挥了这些攻击。

区分技术来源、商业合作关系和最终监控委托者，是调查此类事件时不可忽视的界限。

广告平台开始切断联系

随着调查公开，全球广告行业也开始采取行动。

据路透社和《金融时报》报道，Google以及其他广告技术平台已经对Discover-Tech实施限制或封禁。相关行动涉及Comcast旗下广告技术平台Beeswax及欧洲互动广告局（IAB Europe）等机构。

这些措施反映出广告行业开始意识到，问题不仅是某些广告内容是否违法，还包括广告买家能否利用正常的商业系统实施监控。

在传统的广告安全管理中，平台通常重点审查虚假广告、恶意跳转、诈骗链接和不当内容。

但此次事件暴露的风险更加隐蔽。

一家企业可能以普通广告买家的身份进入广告交易系统，利用合法的数据处理流程识别用户，再通过其他技术手段发动定向攻击。

对于网站经营者而言，这种风险尤其难以察觉。

新闻网站可以审核自己直接销售的广告，却未必能够实时了解程序化广告交易链条中的每一家中间商、每一次竞价以及广告最终由谁投放。

因此，封禁一家涉嫌违规的企业固然重要，却无法从根本上解决广告生态系统的数据透明度问题。

截至报道时，路透社称Discover-Tech和Candiru均未回应其置评请求。有关两家公司合作关系、实际攻击规模及责任归属的进一步细节，仍有待调查。

从商业广告到情报产业

这起事件并非毫无先例。

2026年4月，公民实验室公布了对另一套广告监控系统Webloc的调查。

该系统利用移动应用和数字广告产生的位置数据，向客户提供追踪设备、分析人员活动轨迹等能力。

研究人员发现，其客户涉及美国移民执法部门、部分地方警察机构，以及其他国家的执法或情报部门。

这类业务已经形成一个具有独立商业模式的领域：广告情报，英文通常称为ADINT。

它的核心逻辑是，普通消费者为了使用免费应用程序或浏览网站而产生的数据，可以经过商业中介转化为可供监控使用的信息。

Discover-Tech事件与传统广告情报之间存在重要区别。

购买广告位置数据，主要用于识别和追踪设备；而此次调查涉及的攻击，则进一步将广告渠道与恶意软件投送联系起来。

这意味着，广告系统不仅可能告诉监控者某个人在哪里，还可能帮助攻击者找到向其设备实施入侵的机会。

两种能力一旦结合，便可能显著降低定向网络监控的实施门槛。

更值得警惕的是，这一过程可能不需要攻击者控制目标访问的网站。

只要攻击者能够进入相应的广告供应链，就可能借助第三方平台接触目标用户。

互联网的隐私问题，正在变成国家安全问题

过去十多年，关于数字广告的争论主要围绕消费者隐私。

科技公司是否收集过多数据？用户是否真正同意被追踪？广告商能否根据个人行为推断收入、健康状况或政治兴趣？

如今，这些问题正在获得新的意义。

如果一套系统能够识别特定设备、持续追踪其使用者，并向设备精准投送内容，那么它就可能成为间谍活动的基础设施。

受到影响的也不只是记者。

政府工作人员、外交官、企业高管、研究人员，以及掌握敏感信息的普通雇员，都可能成为潜在目标。

研究人员发现，Discover-Tech相关广告曾触及北约、国际原子能机构及美国国防部等机构的网络环境。但必须强调，广告触达这些机构不等于其设备已经遭到成功入侵。

目前公开报道中，半岛电视台的45台Windows设备是最明确的实际入侵案例之一。

对于监管机构而言，接下来需要回答的问题，是如何在不破坏正常互联网商业模式的前提下，限制广告数据被用于未经授权的监控。

仅仅要求用户关闭个性化广告，恐怕不足以解决这一问题。

因为风险并不完全来自用户看到了什么广告，而是来自广告出现之前，个人设备信息已经被多少企业获取、分析和交换。

这需要广告平台、浏览器开发商、应用商店和监管机构共同处理。

从减少不必要的数据共享，到加强广告买家身份审核，再到对敏感设备和机构采取更严格的网络防护，都可能成为未来改革的一部分。

但真正困难的问题，或许是商业利益。

互联网广告行业依赖对用户的识别和追踪实现精准投放。限制这些能力，也意味着改变一套规模庞大、运行多年的商业体系。

这场调查所揭示的，正是这种矛盾。

为了让广告更加精准，互联网建立了越来越强大的用户识别能力；而当这些能力被监控行业利用时，精准营销与精准间谍活动之间的界限便开始模糊。

人们以为自己只是在浏览网页，实际上，他们的设备可能已经进入了一场看不见的竞价。而竞价者想要获得的，未必是一次商品销售。