零點擊間諜軟件借廣告投遞：廣告網絡成裝置入侵渠道
加拿大多倫多大學 Citizen Lab 表示，網上廣告網絡正被用作投遞「零點擊」間諜軟件的渠道：受害者毋須開啟訊息、按下連結，裝置只要接觸到夾帶惡意程式碼的廣告，便可能遭入侵。研究人員把一家以色列公司 Discover-Tech 描述為廣告供應商與僱傭間諜軟件生態之間的橋樑，並指至少兩個零點擊間諜軟件製造商 Candiru 和 Bindecy 曾使用其平台。
最具體的受害證據涉及半島電視台：Citizen Lab 指至少 45 部 Windows 電腦在 2024 至 2025 年間，疑因接觸到惡意網上廣告而遭 Candiru 間諜軟件入侵。不過，這項技術發現並未確認是哪一個政府在幕後發動攻擊，也沒有證據顯示香港有個人、機構或裝置受害。一般用戶毋須把每一則廣告視為即時攻擊，但對記者、社運人士、政府、關鍵基建及處理敏感資料的人員，這是一個值得重新評估的暴露面。
廣告定位本來就是精準投放工具
廣告技術的核心，是按裝置類型、使用情境、地區、受眾特徵及 app 或網站版位分配廣告。這套機制原意是讓廣告主更有效觸及受眾，但同一種定位能力若落入監控服務供應鏈，便可把原本面向大量人的廣告投放，收窄至特定人士或特定裝置。攻擊者不必先誘騙對方打開釣魚電郵，亦不必直接接觸目標，廣告展示流程本身已可能成為接觸點。
Citizen Lab 的關鍵發現，是 Discover-Tech 名為 Controlium 的平台部分原始碼曾在登入頁面外露，令研究人員可以重建其網頁控制台介面而毋須登入。研究人員認為，該控制台看來特別為在廣告旁向指定目標推送惡意內容而設。這並非單純「廣告內有可疑連結」的舊式 malvertising，而是把廣告交易、受眾定位與可靜默入侵裝置的能力接合起來。
另一項發現是，Discover-Tech 網站有公開部分可讓人毋須密碼下載 Controlium 控制台的大量登入紀錄，當中包括至少兩名 Candiru 員工及 Bindecy 相關帳戶的資料。這些技術線索支持平台與相關間諜軟件供應商存在關聯；但它們並不足以推導出任何特定政府的身份、命令鏈或每一次廣告展示均導致感染。這個界線要守得很清楚，否則容易把有證據的技術歸因，誤寫成未獲證實的政治歸因。
從廣告曝光到裝置失守，中間仍有重要分別
研究人員發現的數以十億計廣告競價紀錄顯示，Discover-Tech 的廣告在 2026 年 3 月至 6 月間曾出現在數以萬計手機 app 和網站；紀錄亦顯示，有關廣告曾展示於軍方、政府、關鍵基建及國家網絡安全機構使用的裝置上。與 Citizen Lab 合作調查的廣告品質平台 Confiant，亦發現疑似惡意廣告曾在國際原子能機構及國際刑事法院網絡內的裝置顯示。
然而，「顯示過廣告」不等於「已被感染」。原始報道明確指出，研究人員未能確認這些展示是否造成入侵。要令攻擊成功，還牽涉廣告內容、目標裝置環境及未知的漏洞利用條件等因素。因此，這批競價紀錄最重要的意義，是證明廣告供應鏈能把內容帶到高度敏感的網絡環境，並揭示其覆蓋範圍；它不能用來估算受害人數，更不應被理解為所有使用相關 app 或網站的人都已中招。
對香港用家而言，事件的本地意義也主要在於這種跨境技術結構。手機 app、網站廣告、廣告追蹤與競價系統大多跨越市場運作，使用者身處何地未必能完全隔開同一套供應鏈。傳媒機構、企業及公共機構尤其依賴大量網頁與流動裝置處理資料，應把第三方廣告所帶來的風險，視為整體裝置管理與私隱保護的一環，而非只當成影響閱讀體驗的問題。
一般用戶可先減少不必要的廣告接觸面
Citizen Lab 資深研究員 Bill Marczak 建議，因身份或工作而可能成為目標的人，應關閉裝置上的廣告追蹤，甚至直接封鎖廣告。對一般用戶來說，這不代表必須假設自己正受監控；較合理的做法是減少不必要的追蹤與廣告載入，同時維持基本更新習慣。由於此類風險可橫跨桌面瀏覽器、手機網頁及 app，單靠其中一項措施不能保證隔絕。
可優先採取的做法包括：在瀏覽器使用可信任的內容或廣告封鎖功能；檢視手機作業系統及 app 的廣告個人化或追蹤設定，按需要關閉；及時安裝作業系統、瀏覽器與常用 app 的安全更新。廣告封鎖可能令部分網站收入減少或出現內容存取限制，使用者可考慮對重視的媒體以訂閱、直接支持等方式補償。這是安全、私隱與內容生態之間的實際取捨，並非一個設定掣便可完全解決。
高風險人士與機構需要更有針對性的安排
對可能因職業、調查工作、政治身份或所接觸資料而被鎖定的人，廣告追蹤設定只是第一道防線。較穩妥的方向，是把工作與私人帳戶及裝置適度分隔，減少在處理敏感事務的裝置上安裝非必要 app，並在異常行為出現時盡早尋求可信任的資訊安全支援。若機構需要廣泛使用流動裝置，亦應清楚掌握更新狀態、app 管理與對外瀏覽政策，避免把防護責任完全留給個別員工。
這宗事件同時把壓力推向廣告技術供應鏈。廣告網絡原本擅長大規模分發與精準觸達，正因如此，一旦審核、帳戶保護或資料存取控制不足，風險不只是在頁面上多了一則不討好的廣告。下一步值得觀察的，是涉事平台及廣告生態各方會否就技術證據作出回應，以及瀏覽器、app 平台與廣告供應商會否收緊對惡意投放及高度精準定位的防護。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechCrunch — Citizen Lab says governments are abusing online ads to hack people with ‘zero-click’ spyware — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
