Tim riset Citizen Lab dari University of Toronto mengungkap apa yang mereka sebut bukti teknis pertama infeksi spyware “zero-click” lewat iklan digital tertarget. Dalam laporan bertajuk “Exposing AdFection” yang dirilis 15 Oktober 2026, mereka menemukan platform periklanan Controlium milik perusahaan asal Israel, Discover-Tech, dipakai untuk memprofilkan jutaan pengguna lalu diam-diam membobol perangkat target — termasuk perangkat milik sejumlah jurnalis Al Jazeera.
Laporan itu terbit bersamaan dengan investigasi perusahaan keamanan iklan Confiant, dan menyusul pengakuan Al Jazeera bahwa tim teknologinya menemukan pola tak biasa di perangkat para jurnalis pada 2024, lalu menghubungi Citizen Lab untuk menelusuri lebih jauh. Jaringan penyiaran asal Qatar itu menyebut targeting tersebut sebagai “serangan terhadap kebebasan pers dan hak publik atas pengetahuan”.
Iklan yang jadi jalur infeksi
AdFection menyambung dua dunia yang biasanya berjalan terpisah: lelang iklan real-time (RTB) dan spyware komersial. Saat pengguna ditampilkan iklan yang tampak biasa — misalnya promo game digital atau layanan telekomunikasi — pengenal iklan (ad ID) dan alamat IP mereka terkirim ke server yang dioperasikan Discover-Tech. Kalau pengguna itu dianggap layak jadi sasaran, perangkatnya lantas dikirimi kode JavaScript berbahaya yang langsung dieksekusi oleh browser atau aplikasi. Tidak ada tautan yang perlu diklik, tidak ada berkas yang perlu diunduh.
Karena kode eksploitasi tidak ikut ditanam di dalam iklan itu sendiri, platform pengiklan yang menayangkannya sulit melihat maksud tersembunyi di baliknya. Citizen Lab mencatat proses infeksi berlangsung dalam hitungan detik dan tanpa sepengetahuan korban. Spyware yang terpasang bisa membaca pesan, foto, dan email, merekam panggilan, serta menyalakan mikrofon secara diam-diam.
“Sudah lama beredar kabar bahwa iklan online bisa dipakai untuk mengidentifikasi dan membobol target secara otomatis dengan presisi tinggi, tapi sekarang untuk pertama kalinya kami punya bukti teknis konkret yang menunjukkan proses itu terjadi,” kata peneliti Citizen Lab, Bill Marczak.
45 perangkat Al Jazeera dan hampir 200 ribu aplikasi
Temuan paling konkret: Citizen Lab menyatakan dengan keyakinan tinggi bahwa perangkat di jaringan media internasional Al Jazeera menjadi sasaran dan terinfeksi spyware milik Candiru — perusahaan yang kini dikabarkan dimiliki Integrity Labs yang berbasis di Amerika Serikat. Menurut laporan itu, setidaknya 45 perangkat Al Jazeera jadi sasaran antara 2024 dan 2025.
Skala penyebarannya jauh lebih luas. Dari penelusuran catatan server, Citizen Lab menyebut “iklan Discover-Tech tayang di hampir 200.000 aplikasi Android, aplikasi iOS, dan situs web di banyak negara”. Iklan-iklan itu muncul di tempat-tempat yang tak terduga, mulai dari aplikasi belajar bahasa, aplikasi kencan, pelacak siklus haid, aplikasi cuaca, sampai surel dan aplikasi panggilan.
Citizen Lab juga menemukan tayangan iklan di jaringan lembaga pemerintah, aparat keamanan, dan organisasi internasional, termasuk NATO dan PBB, serta lembaga-lembaga Uni Eropa. Perlu dicatat: tayangan iklan tidak otomatis berarti perangkat terinfeksi. Namun menurut Citizen Lab, temuan itu setidaknya menunjukkan perangkat tersebut diprofilkan, dan sebagian kasus bisa jadi sudah menerima kode eksploitasi. Indonesia termasuk negara yang disebut dalam daftar jaringan pemerintah yang tercatat menerima tayangan iklan ini, termasuk di jaringan lembaga penyelenggara pemilu.
Google dan Beeswax cabut akses
Discover-Tech disebut berinteraksi dengan jaringan periklanan besar seperti Google, Yandex, dan Beeswax. Perusahaan itu bahkan sempat masuk daftar vendor iklan “tersertifikasi” versi Google dan IAB Europe, meski Citizen Lab mengaku tak menemukan bukti aktivitas periklanan yang wajar dari perusahaan tersebut.
Setelah investigasi ini, Google dan IAB Europe mencabut Discover-Tech dari daftar vendor mereka, sementara Google dan Beeswax memutus akses perusahaan itu ke sistem iklan mereka. Citizen Lab menilai kontrol di industri periklanan terlalu lemah untuk menangkap operasi seperti ini selama bertahun-tahun.
“Mengagetkan bahwa vendor iklan besar dan berbagai organisasi ternyata tidak mampu mendeteksi maupun mencegah operasi periklanan jahat perusahaan ini selama bertahun-tahun,” ujar peneliti Citizen Lab, Wolfie Christl.
Jurnalis sebagai sasaran
CPJ menilai temuan ini menambah daftar panjang risiko yang mengintai jurnalis dari industri ad-tech. “Arsitektur pengawasan massal yang menopang periklanan online sedang dimanfaatkan untuk tujuan lain dan menempatkan jurnalis pada risiko,” kata Jonathan Rozen, deputy director of research CPJ.
Laporan Citizen Lab tidak menyebut pemerintah atau klien tertentu sebagai pihak yang memesan serangan terhadap Al Jazeera. Discover-Tech dan Candiru/Integrity Labs disebut tidak menjawab permintaan komentar sebelum laporan diterbitkan.
Apa yang bisa dilakukan
Citizen Lab menyertakan langkah pelindung bagi pengguna, dan menyoroti pemblokir iklan sebagai praktik baik keamanan siber. Catatannya tegas: saat ini tidak ada cara yang konsisten aman untuk terpapar iklan tertarget. Untuk jurnalis dan pegiat yang berisiko tinggi, mengurangi paparan iklan dan memakai perangkat yang lebih terkunci tetap jadi langkah paling masuk akal sambil menunggu regulasi dan pengawasan industri yang lebih serius.
Sumber
- Citizen Lab — “Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware” (15 Oktober 2026): citizenlab.ca/research/exposing-adfection
- Committee to Protect Journalists (CPJ) — “Report: Israeli ad-tech firm enables spyware targeting of at least 45 Al Jazeera devices” (15 Oktober 2026): cpj.org
- The Guardian — “Online ads weaponised to deliver ‘zero-click’ spyware, researchers say” (15 Oktober 2026): theguardian.com
