Citizen Lab 揭政府滥用在线广告投放零点击间谍软件

广告位成攻击入口：零点击间谍软件的新投递方式

数字权利研究机构 Citizen Lab 发布最新调查，指出多国政府正在滥用在在线广告中植入恶意代码的方式，向目标设备投递「零点击」（zero-click）间谍软件。与传统钓鱼攻击不同，这类攻击几乎不依赖用户的任何操作——受害者无需点击链接、无需下载附件，仅仅浏览了正常的网页广告位，就可能已经被植入监控程序。

Citizen Lab 表示，他们找到了「数十台设备」被入侵的证据，受害者集中在媒体机构半岛电视台（Al Jazeera）。这些设备是在展示恶意在线广告后遭到入侵的，攻击链条隐藏在日常的广告投放系统之中。

半岛电视台为何成为重灾区

半岛电视台长期是商用间谍软件的重点目标。此前已有多起记录在案的案例显示，该机构的记者和设备曾被 Pegasus 等知名间谍软件入侵。这次的不同之处在于投递方式：攻击者不再依赖短信、iMessage 或 WhatsApp 的漏洞，而是把恶意载荷藏进了数字广告的分发链路。

对新闻机构而言，广告几乎是所有网站和 App 的标配内容。这意味着攻击面从「用户主动交互」变成了「被动曝光」——只要打开页面，恶意广告就可能自动加载并触发漏洞。对于记者、异见人士、人权工作者等高价值目标，这种零交互门槛的攻击极为危险。

「零点击」为什么比钓鱼更棘手

传统网络安全培训反复强调：不要点击可疑链接。零点击攻击直接绕过了这条防线。攻击者利用的是设备系统、浏览器或渲染引擎中的漏洞，用户哪怕什么都没做，恶意代码也可能在后台完成提权与驻留。

Citizen Lab 的调查把攻击源头指向政府层面的行为者，这让事件的性质超出普通网络犯罪。政府主导的间谍软件攻击通常经过更长时间的开发和测试，目标选择更精准，规避检测的手段也更成熟。把投递渠道切换到广告网络，进一步增加了溯源和拦截的难度：广告生态系统参与者众多，从广告主、代理商到实时竞价平台、广告交换，任何一环都可能被滥用。

零点击攻击（zero-click attack） 是指攻击者利用目标设备中软件（如操作系统、浏览器、即时通讯应用、图像/媒体解析器等）的漏洞，使恶意代码在受害者完全无感知、无操作的情况下自动执行并完成入侵。它与传统「单击/多点击」攻击最本质的区别在于：攻击链路的触发不依赖任何用户决策，因此社会工程学防护（如安全培训、可疑链接告警）对它完全失效。

零点击攻击的实现通常依赖两类条件：一是存在可被远程触发的内存破坏类漏洞（如缓冲区溢出、释放后使用），二是漏洞位于会自动处理外部输入的组件中（如消息推送、广告渲染、图片解码）。防御难度也因此显著高于点击型攻击：修补窗口短、利用门槛高但一旦成熟即可大规模复用，且往往在受害者和安全厂商发现之前已完成驻留。

商用间谍软件（commercial spyware） 指由私营公司开发、向政府或执法机构出售的监控工具，典型代表包括 NSO Group 的 Pegasus、Cellebrite、Hacking Team（已衰落）等。其常见能力包括读取加密通讯、远程开启麦克风与摄像头、提取位置与通讯录，并可在设备上长期驻留。

与普通恶意软件不同，商用间谍软件通常以「合法执法工具」为名义销售，但其实际使用常被记录到针对记者、律师、人权工作者和异见人士的案例中。这也是 Citizen Lab 等研究机构将其视为人权与新闻自由议题的原因：供应链、出口许可、使用审计与追责机制普遍不透明，使得滥用行为难以被有效约束。把投递渠道转入广告网络，正是这类工具在反检测与反溯源上的又一次演进。

广告生态的安全盲区

这起事件暴露出在线广告系统的结构性缺陷。广告的实时竞价机制要求毫秒级响应，往往缺乏严格的内容审查；大量第三方脚本被嵌入页面，权限边界模糊；而广告网络本身横跨多个司法辖区，监管难以统一。

对普通用户来说，可行的缓解手段有限：及时更新操作系统和浏览器、限制不必要的内容渲染、使用具备广告拦截能力的工具，能降低暴露概率，但无法从根本上杜绝这类滥用。真正的修复需要广告平台、浏览器厂商、操作系统供应商和安全研究机构协同作战，建立更严格的广告内容审核与漏洞响应机制。

Citizen Lab 公开这一发现的意义，在于把攻击手法的演进摊到台面上：当间谍软件的投递方式从「诱导点击」转向「静默曝光」，网络安全的防线也必须从「用户意识」扩展到「平台责任」。

实时竞价（Real-Time Bidding, RTB） 是在线广告的核心交易机制：当用户打开一个含广告位的页面时，广告交易平台会在几十到几百毫秒内向众多广告主发起竞价请求，出价最高者的素材被即时渲染到页面上。整个过程高度自动化，参与方包括广告主、需求方平台（DSP）、供给方平台（SSP）、广告交易平台（Ad Exchange）与数据管理平台（DMP）。

正是这种毫秒级、多中介、跨域拼接的结构，使得内容审核很难在投放前完成。攻击者可以伪造广告主身份，或将恶意代码藏在第三方素材、落地页、甚至广告创意所用的图片或脚本中。加之大量广告位由第三方脚本动态注入，权限边界模糊，恶意载荷可以借合法链路完成分发，进一步放大了零点击攻击的暴露面。