Аннотация:
Исследователи в области кибербезопасности обнаружили, что Discover-Tech, израильская компания рекламных технологий, подозревается в крупномасштабном использовании системы интернет-рекламы для таргетинга на пользователей Starlink, спутникового интернет-сервиса, принадлежащего SpaceX, и может использовать ее для получения географического местоположения пользователей и другой конфиденциальной информации. Шесть человек, знакомых с ходом расследования, рассказали, что команда TrendAI, принадлежащая компании по кибербезопасности Trend Micro, считает, что Discover-Tech является важным претендентом на рекламу, доступную пользователям Starlink во многих странах мира, и что ее модели деятельности значительно отличаются от обычного коммерческого рекламного бизнеса.
Исследователи проанализировали данные телеметрии цифровой рекламы, собранные TrendAI, и обнаружили, что Discover-Tech занимает первое место на аукционах рекламы, ориентированных на пользователей Starlink в более чем 100 странах и регионах, включая те, которые запрещают или ограничивают услуги Starlink. Рекламные торги — распространенный механизм в индустрии интернет-рекламы. Рекламодатели используют ставки в режиме реального времени, чтобы показывать рекламу на веб-сайтах или в приложениях, которые посещают пользователи. Однако данные, генерируемые в процессе торгов, могут также раскрывать информацию об устройстве пользователя, сетевой среде и другую информацию, предоставляя возможность отслеживать пользователей.
SpaceX не ответила на запрос Reuters о комментариях. Discover-Tech и ее генеральный директор Декер Бони также не ответили на запросы в течение двух недель до публикации отчета.
15 октября компания TrendAI опубликовала отчет о том, что пользователи Starlink подвергались аномальному таргетированию рекламы, но не раскрыла название причастной к этому компании, а вместо этого назвала соответствующую организацию «Тень-Земля-79». Кодовое название на самом деле соответствует Discover-Tech, рассказали шесть человек, знакомых с ситуацией. TrendAI не объяснила прямо, почему она не назвала публично название компании, но заявила, что ее подход к атрибуции был разработан, чтобы снизить риск неправильной идентификации и избежать использования ярлыков, которые могут ввести в заблуждение защитников, исказить суждения о рисках или вызвать неадекватную реакцию.
Исследователи полагают, что соответствующая рекламная деятельность может иметь основной целью не продвижение обычных продуктов, а использовать рекламную систему для сбора информации, которая может идентифицировать и таргетировать пользователей Starlink. Спутниковые интернет-терминалы передают данные через спутники, управляемые SpaceX, вместо того, чтобы полностью полагаться на традиционные локально регулируемые телекоммуникационные сети, что позволяет им в некоторых случаях обходить интернет-ограничения и предоставлять каналы связи для тех, кто находится в зонах конфликтов. Это также делает пользователей Starlink объектами особой разведывательной ценности.
Starlink особенно важен в Украине. Украинские военные полагаются на эту службу для поддержания связи на передовой и используют ее для координации ударов беспилотников. В зонах конфликтов возможность определения местоположения терминалов спутникового Интернета может помочь соответствующим сторонам определить действия персонала, узлы связи и даже военные объекты. Таким образом, техническая и коммерческая деятельность, связанная с отслеживанием пользователей Starlink, в последние годы постепенно привлекла внимание правительств и исследователей кибербезопасности.
В мае этого года израильское СМИ Haaretz и сайт разведывательной индустрии Intelligence Online отдельно сообщили, что некоторые израильские компании продавали клиентам методы идентификации и отслеживания пользователей Starlink. В то время Haaretz отметила, что использование данных цифровой рекламы может стать важной частью технологии. Последнее расследование еще раз подчеркивает возможность использования механизмов назначения ставок за рекламу для сбора разведывательной информации, выходящей за рамки традиционного коммерческого маркетинга.
На самом деле, Discover-Tech уже находится под следствием по обвинению в использовании рекламных систем для проведения более широкой кампании наблюдения. В тот же день, когда TrendAI опубликовал соответствующий отчет, канадская исследовательская организация в области кибербезопасности Citizen Lab и нью-йоркская компания рекламных технологий Confiant соответственно публично назвали Discover-Tech, заявив, что компания подозревается в злоупотреблении механизмом торгов по цифровой рекламе и сборе данных пользователей Интернета.
В процессе рекламной транзакции участники торгов могут получить информацию, связанную с пользовательским оборудованием и сетевой деятельностью. Если эти данные будут постоянно собираться и сопоставляться с информацией из других источников, возможно, появится возможность постепенно удалять анонимность пользователя, идентифицировать конкретных людей и отслеживать их действия на различных веб-сайтах и в приложениях. В некоторых случаях эта информация также может использоваться для фильтрации целей и дальнейшей доставки рекламы со слежкой или вредоносным кодом.
Citizen Lab и Confiant сообщили, что реклама Discover-Tech появлялась в десятках конфиденциальных онлайн-сред с участием средств массовой информации, правительственных учреждений и технологических компаний. После того, как расследование стало достоянием общественности, Google, Comcast и другие компании заявили, что удалили Discover-Tech со своих рекламных платформ. По словам людей, знакомых с ситуацией, по крайней мере одна крупная технологическая компания США и международная организация начали внутренние расследования, чтобы определить, была ли реклама компании нацелена на ее сотрудников.
Расследование TrendAI также показало, что Shadow-Earth-79 была крупнейшим покупателем на рекламных аукционах в Сирии, Ливии, Йемене и Южном Судане и занимала второе место в Афганистане. Некоторые из этих территорий подлежат санкциям или находятся в разгаре вооруженных конфликтов, а обычные потребности западной коммерческой рекламы относительно ограничены. Поэтому исследователи полагают, что необычно высокую долю предложения компании на этих рынках трудно полностью объяснить обычным рекламным бизнесом.
В отчете также отмечается, что компания выиграла необычно большое количество рекламных аукционов в таких странах, как Венгрия, Израиль, Египет, Азербайджан и Венесуэла. Исследователи полагают, что эти модели больше похожи на инфраструктуру для таргетинга и отслеживания, чем на коммерческие рекламные операции, основной целью которых является продажа товаров или услуг.
Исследователи TrendAI серьезно подумывали о том, чтобы прямо в отчете упомянуть Discover-Tech, но в конечном итоге отказались от этого подхода после того, как руководство компании выразило обеспокоенность юридическими рисками, по словам шести человек, знакомых с этим вопросом. Пять источников заявили, что юридические риски были важным фактором в решении не раскрывать информацию о виновности.
Рейтер отмечает, что индустрия кибербезопасности часто сталкивается со сложным компромиссом между техническими доказательствами, юридической ответственностью и коммерческими интересами при публичном выявлении подозреваемых в шпионаже. Исследовательские институты могут иметь достаточно свидетельств необычной деятельности, чтобы вызвать тревогу, но они могут быть не в состоянии установить достаточно определенную связь между каждым техническим открытием и конкретной компанией в публичных отчетах.
Ранее в этом году американская компания по обеспечению кибербезопасности Palo Alto Networks также вызвала споры своим отчетом о виновности в глобальной деятельности кибершпионажа. Агентство Reuters тогда сообщило, что компания удалила явные ссылки на Китай из своего отчета. Palo Alto Networks отрицала, что ее действия были связаны с ограничениями Китая на закупки, и заявила, что соответствующие претензии не имеют оснований.
Этот инцидент свидетельствует о том, что индустрия цифровой рекламы может столкнуться с рисками безопасности, выходящими за рамки традиционной защиты конфиденциальности. Рекламная система изначально использовалась для предоставления коммерческой информации на основе интересов и поведения пользователей, но данные, генерируемые в процессе торгов в реальном времени, также могут использоваться для идентификации конкретных групп людей, определения географического местоположения и даже предоставления целевой информации для последующих кибератак.
Для пользователей Starlink этот риск вызывает особое беспокойство, поскольку спутниковый интернет часто используется в районах, где традиционная сетевая инфраструктура ограничена, связь подвергается цензуре или где существует вооруженный конфликт. Пользователи могут думать, что они просто просматривают Интернет или используют обычные приложения, но в процессе загрузки рекламы и назначения ставок они раскрывают информацию, которая может быть собрана третьими лицами.
Однако результаты текущего общественного расследования в основном указывают на ненормальное поведение при назначении рекламных ставок и возможные цели его отслеживания. Недостаточно доказать, что каждый аукцион Discover-Tech преследует шпионские цели, и нельзя сделать вывод, что все пользователи Starlink успешно подверглись атаке. Соответствующие обвинения все еще необходимо рассматривать на основе дополнительных технических доказательств и результатов расследования.
Поскольку связям между цифровой рекламой, анализом данных и коммерческим шпионским ПО уделяется все больше внимания, актуальным вопросом в сфере кибербезопасности становится вопрос о том, как ограничить утечку конфиденциальных данных в системах назначения ставок, усилить контроль рекламных платформ за участниками торгов и предотвратить использование законной рекламной инфраструктуры для слежки и кибератак.
Комментарии