Reklamla Bulaşan Casus Yazılım: Citizen Lab AdFection Raporu ve Candiru Saldırısı

Yıllardır güvenlik farkındalığı eğitimlerinde aynı cümleyi kurarız: tanımadığınız linke tıklamayın. Citizen Lab'ın 15 Ekim 2026'da yayımladığı rapor, bu cümlenin bazı tehdit modelleri için artık yetmediğini somut biçimde gösteriyor. Çünkü anlatılan saldırıda tıklanacak bir link bile yok; sadece bir reklam gösterimi var.

AdFection nedir?

Toronto Üniversitesi bünyesindeki Citizen Lab, hedefli çevrim içi reklamlar üzerinden sıfır tıklama (zero-click) casus yazılım bulaştırılmasının ilk kamuya açık teknik doğrulamasını yaptıklarını açıkladı ve tekniğe AdFection adını verdi. Araştırma, reklam güvenliği şirketi Confiant ile ortak yürütülmüş.

Raporun merkezinde İsrailli Discover-Tech şirketi var. Şirket kendini sıradan bir reklam ajansı gibi tanıtıyor; ancak araştırmacılara göre Controlium adlı platformu, casus yazılım ortaklarının kişileri profillemesine, cihazları parmak iziyle tanımlamasına ve IP adresi, mobil reklam kimliği ya da tarayıcı tanımlayıcısıyla bir hedefi seçip enfeksiyona yönlendirmesine imkan tanıyor.

Al Jazeera vakası

Raporun en çarpıcı bölümü Al Jazeera ile ilgili. Kanalın kendi teknoloji ekibi 2024'te bazı gazetecilerin cihazlarında olağan dışı örüntüler fark etmiş, durum 2025'te de sürmüş ve kurum ayrıntılı inceleme için Citizen Lab'e başvurmuş. Çıkan tablo şöyle:

• 2024 ve 2025'te Al Jazeera bünyesinde en az 45 cihaz hedef alınmış.
  
• Saldırılar yüksek güvenle, ABD'nin 2021'de kara listeye aldığı İsrailli casus yazılım firması Candiru'nun (rapora göre Integrity Labs adıyla yeniden markalaşmış) yazılımına bağlanıyor.
  
• Ağ loglarındaki zamansal iz, saldırının nasıl yürütüldüğünü net gösteriyor: önce bir Discover-Tech reklam gösterimi, ardından Candiru doğrulama ve komuta-kontrol altyapısıyla iletişim.
  

Reklam, cihazın reklam kimliğini ve IP adresini bir sunucuya gönderen küçük bir geri çağrı taşıyor; sunucu da bu cihaza saldırı kodu dönüp dönmeyeceğine karar veriyor. Yani reklamı dağıtan ağların elinde tespit edecek "kötü niyetli" bir şey kalmıyor.

Ölçek küçük değil

Confiant'ın paralel incelemesine göre Discover-Tech reklamları, Mart-Haziran 2026 arasında 120 binden fazla web sitesi ve 75 binden fazla uygulamada görüntülenmiş. Raporda, bu reklamların NATO, Birleşmiş Milletler ve AB kurumlarına ait ağlar gibi ulusal güvenlik açısından hassas yerlere de ulaştığı belirtiliyor. Citizen Lab ayrıca Discover-Tech'in giriş sayfalarında kaynak kodun bir kısmını açıkta bıraktığını ve Controlium paneline ait kullanıcı giriş kayıtlarının parolasız erişilebilir bir bölümde durduğunu, bu kayıtların bir kısmının Candiru ve Bindecy çalışanlarına ait olduğunu söylüyor.

Sektör ne yaptı?

Google ve Comcast'e bağlı reklam şirketi Beeswax, Discover-Tech'i platformlarından çıkardı; IAB Europe ise onaylı satıcı listesinden askıya aldı. Bu iyi bir adım ama tekniğin kendisi ortada: reklam borsaları, teslim ettikleri reklamın içinde hedefe özel tetiklenen bir yük olduğunu göremiyor.

Sıradan kullanıcı için anlamı

Açık olalım: bu, rastgele herkesi vuran bir kampanya değil. Candiru gibi firmaların müşterileri devletler ve hedefleri genelde gazeteciler, muhalifler, aktivistler. Ama teknik olarak önemli, çünkü "mesajı açmazsan güvendesin" varsayımını kırıyor. Yüksek risk altındaki profiller (gazeteci, insan hakları çalışanı, araştırmacı) için Citizen Lab'ın önerileri:

• Reklam engelleyici kullanmak ve reklam takibini kapatmak.
  
• Mobil reklam kimliğini düzenli olarak sıfırlamak.
  
• iOS/iPadOS tarafında yüksek riskli kullanıcılar için Kilitleme Modu (Lockdown Mode) gibi sertleştirme seçeneklerini değerlendirmek.
  

Benim kişisel çıkarımım şu: tarayıcı ve reklam ekosistemi, saldırı yüzeyi olarak hafife alınıyor. Reklam engelleyiciyi "sadece rahatsız edici reklamları kapatan bir eklenti" diye görmek yanlış; çoğu durumda somut bir güvenlik kontrolü.

Kaynakça

• Citizen Lab - Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware: https://citizenlab.ca/research/how-disco...r-spyware/
  
• Al Jazeera - Israeli ad-tech firm helped place spyware on Al Jazeera devices: https://www.aljazeera.com/news/2026/10/1...ra-devices
  
• TechCrunch - Governments are hacking people with zero-click spyware by showing them online ads: https://techcrunch.com/2026/10/15/citize...k-spyware/
  

Görsel: TurkTeam özgün kapak görseli