Reklamla bulaşan casus yazılım: Al Jazeera'da 45 cihaz ele geçti

AdFection kampanyası tam olarak ne yaptı?

Enfeksiyon sıradan bir reklam gösterimiyle başladı — araştırmacıların örneğinde kulaklık reklamı — ve hedefin makinesinde tam donanımlı bir bilgi hırsızıyla sonuçlandı.

Al Jazeera gazetecileri 2024'te cihazlarının tuhaf davrandığını fark edip Toronto Üniversitesi bünyesindeki Citizen Lab'e başvurdu. Araştırmacıların bulduğu şey, daha önce belgelenmemiş bir dağıtım zinciriydi: reklam sunulduğu anda casus yazılımı kuran, tıklama, indirme onayı ya da herhangi bir kullanıcı etkileşimi gerektirmeyen bir mekanizma.

Yerleştikten sonra zararlı yazılım kapsamlıydı. Bulgulara göre dosyaları, belgeleri, tarayıcı çerezlerini ve yer imlerini topladı, kayıtlı kimlik bilgilerini aldı. Tuş vuruşlarını kaydetti, insanlar çalışırken ekran görüntüsü aldı, mikrofon ve kamerayı açabildi. Birden fazla platformdaki e-posta ve anlık mesajlar dışarı sızdırıldı.

Citizen Lab kampanyaya AdFection adını verdi. Al Jazeera da araştırmayla birlikte kendi açıklamasını yayımladı.

Candiru, Discover-Tech ve reklam teknolojisinin aradaki katmanı

Araştırmacılar gözetimi kimin sipariş ettiğini belirlemedi. Aracı kimin geliştirip dağıttığını ise belirlediler.

Casus yazılımın kendisi, adını Integrity Labs olarak değiştiren paralı gözetim satıcısı Candiru'ya atfediliyor. ABD Ticaret Bakanlığı, Candiru'yu Kasım 2021'de, yazılımı yetkililere, gazetecilere ve aktivistlere karşı kullanan hükümetlere sattığı için kara listeye almıştı. Citizen Lab, şirketin Temmuz 2026 sonunda bu listeden çıkarıldığını not ediyor.

Dağıtım ise, otomatik borsalar üzerinden reklam envanteri satın alan talep tarafı platformu MyDSP'yi işleten İsrailli reklam teknolojisi şirketi Discover-Tech üzerinden gerçekleşti. Citizen Lab'in vardığı sonuç sert: şirket "büyük ölçekli reklam casusluğu istismarı için bir paravan" gibi görünüyor ve bu köprüyü kurmak, yan etkiden çok şirketin asıl amacı gibi duruyor.

Asıl endişe verici kısım ölçek. Citizen Lab yaklaşık 4 milyar reklam teklifi kaydını inceledi ve yalnızca 2026'nın ikinci çeyreğinde Discover-Tech reklamlarının 120 binden fazla web sitesinde ve 70 bin mobil uygulamada göründüğünü tespit etti. The Register'ın reklam güvenliği şirketi Confiant'a dayandırdığı habere göre bu reklamların bir kısmı Pentagon, BM Uluslararası Atom Enerjisi Ajansı ve Uluslararası Ceza Mahkemesi'nin kullandığı ağlarda bile ortaya çıktı.

Kaç kişi etkilendi, başka kimler var?

2024 ve 2025 boyunca en az 45 Al Jazeera cihazı ele geçirildi. Geri kalan herkes için dürüst cevap şu: kimse bilmiyor.

Asıl haber bu boşlukta. Araştırmacılara göre maliyeti "birkaç milyon dolar" olan bir casus yazılım aracı rastgele serpilmez; hedefleme neredeyse kesinlikle seçiciydi. Ancak dağıtım mekanizması seçici değildi: sıradan web sayfalarını ve uygulamaları dolduran programatik reklam boru hatlarının üzerinden geldi. Alıcılar bu hat içinde hedef seçebiliyorsa, aynı yeteneği edinen herkes de seçebilir.

The Register'ın Confiant verilerine dayanan haberi, reklam envanterinin hiçbir ticari reklamverenin dokunmaması gereken ağlara ulaştığını gösteriyor. Bunun bilinçli hedefleme mi yoksa büyük bir reklam borsasının erişiminin doğal sonucu mu olduğu, soruşturmacıların hâlâ üzerinde çalıştığı asıl soru.

Reklamla gelen casus yazılımdan korunmak neden daha zor?

Çoğu zararlı yazılım tavsiyesi bir insan kararı varsayar: bir bağlantı, bir ek, sahte bir kurulum dosyası. AdFection o anı tamamen ortadan kaldırıyor.

Tıklamasız saldırılar yeni değil. Mesajlaşma uygulamaları üzerinden telefonlara yapılan saldırılar belgelendi; hazırlanan bir mesaj, alıcı hiçbir şey görmeden bir hatayı tetikliyor. Buradaki yenilik, reklam ihalesinin kendisinin dağıtım aracı olarak kullanılması. Bu önemli, çünkü reklam alanları her kuruluşun kontrol etmediği üçüncü taraflardan yüklediği ender şeylerden biri.

Savunma tarafı için pratik sonuçlar rahatsız edici. Reklamları ağ düzeyinde engellemek artık sadece bir verimlilik ya da gizlilik tercihi değil; güvenlik ekiplerinin inceleyemediği koca bir saldırı yüzeyini ortadan kaldırıyor. Tarayıcı ve işletim sistemlerini güncel tutmak her zamankinden önemli, çünkü açığın bir yere inmesi gerekiyor. Haber merkezleri, sivil toplum kuruluşları ve kamu daireleri için standart tehdit modeli — birinin eninde sonunda yanlış şeye tıklayacağını varsaymak — artık bir yoldaş gerektiriyor: bazı şeylerin kimse tıklamadan geldiğini varsaymak.

Citizen Lab'in ticari casus yazılım istismarlarını belgeleme konusunda bir geçmişi var; raporları daha önce yaptırımlara ve satıcıların kara listeye alınmasına yol açtı. Bu vakanın da aynı sonucu doğurup doğurmayacağı, düzenleyicilerin Discover-Tech kanıtlarını nasıl okuyacağına bağlı. Reklam takibi sorunu da yeni değil: araştırmacılar daha önce Discover-Tech reklamlarının 120 bin sitede kullanıcıları izlediğini göstermişti ve 40 bin şirketi vuran sahte takvim daveti fırtınası güvenilen bir kanalın ne kadar hızlı düşmanca davranabildiğini ortaya koymuştu.

Türkiye'de durum ne?

Türkiye'den doğrudan hedef alınan bir gazeteci ya da kurum olduğuna dair bir bulgu yok. Ancak AdFection'ın kullandığı programatik reklam borsaları sınır tanımıyor; Türkiye'deki haber siteleri ve uygulamalar da aynı ağlardan reklam çekiyor. Yani teknik olarak aynı dağıtım yolu burada da mevcut, sadece hedefleme bilinmiyor.

Bireysel kullanıcı için en somut adım reklam engelleyici kullanmak ve tarayıcı ile işletim sistemini güncel tutmak. Kurumsal tarafta ise reklam teknolojisi tedarikçileri, KVKK kapsamındaki veri işleme ve tedarik zinciri güvenliği değerlendirmelerine henüz girmiş değil; bu vaka, en azından sözleşmelere "hangi doğrulamayı yaptınız?" sorusunu eklemek için iyi bir gerekçe. Discover-Tech'in Türkiye'deki reklam ağlarındaki varlığına dair resmi bir açıklama yok; konu takip edilmeli.

AdFection'ın rahatsız edici tarafı casus yazılımın varlığı ya da gazetecilerin hedef alınması değil — ikisi de eski haber. Asıl mesele, dağıtım yönteminin reklam ihalesinin tam ortasında göz önünde saklanması ve ancak bir haber merkezinin kendi dizüstü bilgisayarlarındaki tuhaflığı fark etmesiyle ortaya çıkması. Soruşturma şimdi düzenleyicilere geçiyor: Discover-Tech'in rolü bir reklam teknolojisi hatası olarak mı yoksa çok daha ciddi bir şey olarak mı ele alınacak?