Het onderzoeksrapport 'Exposing AdFection' van Citizen Lab onthult dat het Israëlische bedrijf Discover-Tech het wereldwijde programmatische advertentiesysteem heeft misbruikt om 'huurspyware' te verspreiden. Door zich voor te doen als een legitiem ad-techbedrijf en certificeringen te verkrijgen van partijen als Google, Microsoft en Yandex, kon Discover-Tech specifieke individuen — waaronder medewerkers van Al Jazeera — targeten met 'zero-click' malware. Deze aanvallen maken gebruik van onbekende kwetsbaarheden waardoor apparaten worden overgenomen zonder dat de gebruiker actie hoeft te ondernemen.
Het artikel legt een link tussen Discover-Tech en andere beruchte Israëlische hackingbedrijven zoals de NSO Group. De auteur betoogt dat de huidige surveillance-gebaseerde ad-techindustrie fundamenteel onveilig is door een gebrek aan screening en security-audits. Als oplossing wordt gepleit voor het gebruik van ad-blockers en een transitie van surveillance-advertenties (gericht op de gebruiker) naar context-gebaseerde advertenties (gericht op de inhoud van de pagina), wat zowel veiliger is als de privacy van de gebruiker waarborgt.
Israëlisch ad-techbedrijf was een distributiesysteem voor 'huurspyware'
Dit is de onvermijdelijke conclusie van het nieuwste baanbrekende onderzoeksrapport van Citizen Lab, "Exposing AdFection". Dit rapport onthult hoe de grootste ad-techbedrijven ter wereld, waaronder Google en Facebook, zich lieten kapen door een bedrijf dat gespecialiseerd is in 'huurspyware'. Dit bedrijf gebruikte het advertentiesysteem om specifieke individuen te lokaliseren en "zero-click malware" te versturen, die computers en telefoons overnam zonder dat de gebruiker enige actie hoefde te ondernemen.
Meer informatie is te vinden in het rapport: https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
De mechaniek van surveillance en infectie
Techgiganten hebben gedetailleerde surveillance-dossiers verzameld over vrijwel elke internetgebruiker en hebben ons elk unieke, persistente identificatiekenmerken toegewezen — vergelijkbaar met een burgerservicenummer voor spionage. Deze bedrijven staan advertentiegevers (of iedereen die zich voordoet als een advertentiegever) toe om stukken code — want dat is wat een advertentie in feite is — te serveren aan personen op basis van die identificatiekenmerken.
Dit stelde een Israëlisch spywarebedrijf genaamd Discover-Tech (dat zich voordoet als een ad-techbedrijf) in staat om totalitaire overheden en malafide corporate huurlingen de mogelijkheid te verkopen om individuele internetgebruikers uit de miljarden dagelijkse gebruikers te vissen. Vervolgens serveerden ze "malafide advertenties" aan deze doelwitten.
Deze advertenties bevatten "no-click, zero-day"-aanvallen. Dit betekent dat ze gebruikmaakten van voorheen onbekende kwetsbaarheden om apparaten over te nemen zonder enige interactie van de gebruiker. Het louter laden van een webpagina of het openen van een app die een van deze gigantische ad-techbedrijven gebruikte voor advertenties, was voldoende om het apparaat te compromitteren. Er waren geen klikken nodig en er kwam geen waarschuwing.
Doelwitten en industriële certificering
Onder de doelwitten van deze aanvalscampagne bevonden zich computers van medewerkers van Al Jazeera. Zij werden aangevallen met malware van het huurspywarebedrijf Candiru (dat zich inmiddels "Integrity Labs" noemt). Naast Candiru faciliteert Discover-Tech ook aanvallen door talrijke andere criminele huurspywarebedrijven via honderdduizenden websites en apps.
Opvallend is dat Discover-Tech was "gecertificeerd" als een veilige leverancier door Google, Yandex, Microsoft, Beeswax (een divisie van Comcast) en de IAB, de leidende beroepsvereniging van de ad-techindustrie. Ironisch genoeg viel Discover-Tech gebruikers zelfs aan door malafide GDPR-meldingen te tonen, die suggereerden dat gebruikers zich konden afmelden voor commerciële surveillance.
Omdat Discover-Tech door al deze industrieorganisaties en bedrijven was gecertificeerd, had het toegang tot meer dan vier miljard advertentie-veilingen. Dit betekende dat het op miljarden gelegenheden de identiteiten van gebruikers kon verzamelen, deze kon controleren aan de hand van een lijst met doelwitten en elk gevonden slachtoffer via dit sleepnet kon aanvallen.
De connecties met de Israëlische cyberindustrie
Discover-Tech is een Israëlisch bedrijf met banden met andere Israëlische spyware- en hackingbedrijven, onder meer via de raad van bestuur. Leden hiervan waren onder anderen Eric Banoun, door de krant Haaretz omschreven als "een van de pioniers van offensieve cyberactiviteit in Israël". Er is sprake van overlap, relaties en affiliaties met een galerij van beruchte Israëlische bedrijven, waaronder de NSO Group, die routinematig cyberwapens verkoopt aan de slechtste overheden ter wereld en wiens producten zijn gebruikt om journalisten, ambassadewerkers en activisten aan te vallen.
Dit incident onderstreept de monumentale onveiligheid van de ad-techindustrie. De onbezonnen en vraatzuchtige surveillance, gecombineerd met manifest onvoldoende screening en security-audits, stelt elke internetgebruiker ter wereld bloot aan angstaanjagende gerichte aanvallen. Bedrijven zoals Google — een drievoudig veroordeelde monopolist wiens surveillance-tentakels de hele wereld omspannen — beweren dat zij hun netwerken met voorzichtigheid en toezicht beheren. Maar de praktijk wijst uit dat ze jarenlang een thuis hebben geboden aan cyberhuurlingen die hun infrastructuur gebruikten voor aanvallen op journalisten en anderen.
De noodzaak van ad-blockers en privacy
De enige manier om dit te voorkomen is door advertenties te blokkeren. In een browser is dit eenvoudig, maar het is vaak illegaal om een app te reverse-engineeren en aan te passen om advertenties daarin te blokkeren: https://pluralistic.net/2026/07/21/dickovers/#block-element
Veel websites gebruiken anti-ad-block scripts die meldingen tonen waarin de gebruiker een dief of gierigaard wordt genoemd. Negeer deze meldingen: als een website "programmatische" advertenties gebruikt die willekeurige derde partijen toestaan om miljarden mensen te bespioneren en individuen te targeten voor overnames van apparaten, dan is de prijs om hun content te zien simpelweg te hoog.
Sommige sites gaan verder en eisen dat je je ad-blocker uitschakelt of betaalt voor een abonnement. Dit "pay or okay"-schema is illegaal in Europa, Californië en andere regio's met sterke privacywetgeving, en is daarnaast moreel failliet. Privacy zou geen luxeproduct mogen zijn; iedereen verdient het om veilig te zijn voor cyberaanvallen: https://noyb.eu/en/noybs-pay-or-okay-report-how-companies-make-you-pay-privacy
Surveillance-advertenties versus context-advertenties
Dit rapport biedt tevens een weerlegging van het gevaarlijke idee dat we de concurrentie in de ad-techsector zouden moeten verbeteren door elke internetgebruiker een verplichte, door de overheid uitgegeven advertentie-ID te geven om targeting en follow-up (door de sector "attributie" genoemd) te "democratiseren": https://pluralistic.net/2024/08/07/revealed-preferences/#extinguish-v-improve
Het probleem hier is niet reclame op zich, maar surveillance. De ad-techsector heeft adverteerders ervan overtuigd dat het targeten van gebruikers (in plaats van content) de prestaties van advertenties enorm verbetert. Het bewijs hiervoor is zeer zwak: getargete advertenties verbeteren de click-through rate met minder dan 5% ten opzichte van content-gebaseerde advertenties (die aansluiten bij de inhoud van de pagina), terwijl ze ongelooflijk duur en gevaarlijk zijn om te serveren.
Bovendien verschuiven surveillance-gebaseerde advertenties de macht van uitgevers (die meer weten over hun eigen materiaal dan welk ad-techbedrijf ook) naar spionerende ad-techbedrijven. De geringe extra inkomsten die surveillance-advertenties genereren, worden volledig tenietgedaan door de kosten van de operaties van de ad-techsector. Deze sector compenseert dit door zwaar te onderinvesteren in beveiliging en door samen te spannen om uitgevers en adverteerders te bedriegen (door meer te rekenen voor advertenties en minder te betalen aan de websites die ze tonen), zoals beschreven in het "Jedi Blue"-project: https://en.wikipedia.org/wiki/JediBlue
Als we de concurrentie in advertentiediensten willen verbeteren, is het antwoord niet het faciliteren van spionage. We zouden surveillance-advertenties volledig moeten verbieden en context-gebaseerde advertenties moeten herstellen als de manier waarop uitgevers een eerlijk inkomen verdienen zonder hun publiek te verraden: https://pluralistic.net/2023/05/31/context-ads/#class-formation
Israëlisch ad-techbedrijf was een distributiesysteem voor 'huurspyware'
Dit is de onvermijdelijke conclusie van het nieuwste baanbrekende onderzoeksrapport van Citizen Lab, "Exposing AdFection". Dit rapport onthult hoe de grootste ad-techbedrijven ter wereld, waaronder Google en Facebook, zich lieten kapen door een bedrijf dat gespecialiseerd is in 'huurspyware'. Dit bedrijf gebruikte het advertentiesysteem om specifieke individuen te lokaliseren en "zero-click malware" te versturen, die computers en telefoons overnam zonder dat de gebruiker enige actie hoefde te ondernemen.
Meer informatie is te vinden in het rapport: https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
De mechaniek van surveillance en infectie
Techgiganten hebben gedetailleerde surveillance-dossiers verzameld over vrijwel elke internetgebruiker en hebben ons elk unieke, persistente identificatiekenmerken toegewezen — vergelijkbaar met een burgerservicenummer voor spionage. Deze bedrijven staan advertentiegevers (of iedereen die zich voordoet als een advertentiegever) toe om stukken code — want dat is wat een advertentie in feite is — te serveren aan personen op basis van die identificatiekenmerken.
Dit stelde een Israëlisch spywarebedrijf genaamd Discover-Tech (dat zich voordoet als een ad-techbedrijf) in staat om totalitaire overheden en malafide corporate huurlingen de mogelijkheid te verkopen om individuele internetgebruikers uit de miljarden dagelijkse gebruikers te vissen. Vervolgens serveerden ze "malafide advertenties" aan deze doelwitten.
Deze advertenties bevatten "no-click, zero-day"-aanvallen. Dit betekent dat ze gebruikmaakten van voorheen onbekende kwetsbaarheden om apparaten over te nemen zonder enige interactie van de gebruiker. Het louter laden van een webpagina of het openen van een app die een van deze gigantische ad-techbedrijven gebruikte voor advertenties, was voldoende om het apparaat te compromitteren. Er waren geen klikken nodig en er kwam geen waarschuwing.
Doelwitten en industriële certificering
Onder de doelwitten van deze aanvalscampagne bevonden zich computers van medewerkers van Al Jazeera. Zij werden aangevallen met malware van het huurspywarebedrijf Candiru (dat zich inmiddels "Integrity Labs" noemt). Naast Candiru faciliteert Discover-Tech ook aanvallen door talrijke andere criminele huurspywarebedrijven via honderdduizenden websites en apps.
Opvallend is dat Discover-Tech was "gecertificeerd" als een veilige leverancier door Google, Yandex, Microsoft, Beeswax (een divisie van Comcast) en de IAB, de leidende beroepsvereniging van de ad-techindustrie. Ironisch genoeg viel Discover-Tech gebruikers zelfs aan door malafide GDPR-meldingen te tonen, die suggereerden dat gebruikers zich konden afmelden voor commerciële surveillance.
Omdat Discover-Tech door al deze industrieorganisaties en bedrijven was gecertificeerd, had het toegang tot meer dan vier miljard advertentie-veilingen. Dit betekende dat het op miljarden gelegenheden de identiteiten van gebruikers kon verzamelen, deze kon controleren aan de hand van een lijst met doelwitten en elk gevonden slachtoffer via dit sleepnet kon aanvallen.
De connecties met de Israëlische cyberindustrie
Discover-Tech is een Israëlisch bedrijf met banden met andere Israëlische spyware- en hackingbedrijven, onder meer via de raad van bestuur. Leden hiervan waren onder anderen Eric Banoun, door de krant Haaretz omschreven als "een van de pioniers van offensieve cyberactiviteit in Israël". Er is sprake van overlap, relaties en affiliaties met een galerij van beruchte Israëlische bedrijven, waaronder de NSO Group, die routinematig cyberwapens verkoopt aan de slechtste overheden ter wereld en wiens producten zijn gebruikt om journalisten, ambassadewerkers en activisten aan te vallen.
Dit incident onderstreept de monumentale onveiligheid van de ad-techindustrie. De onbezonnen en vraatzuchtige surveillance, gecombineerd met manifest onvoldoende screening en security-audits, stelt elke internetgebruiker ter wereld bloot aan angstaanjagende gerichte aanvallen. Bedrijven zoals Google — een drievoudig veroordeelde monopolist wiens surveillance-tentakels de hele wereld omspannen — beweren dat zij hun netwerken met voorzichtigheid en toezicht beheren. Maar de praktijk wijst uit dat ze jarenlang een thuis hebben geboden aan cyberhuurlingen die hun infrastructuur gebruikten voor aanvallen op journalisten en anderen.
De noodzaak van ad-blockers en privacy
De enige manier om dit te voorkomen is door advertenties te blokkeren. In een browser is dit eenvoudig, maar het is vaak illegaal om een app te reverse-engineeren en aan te passen om advertenties daarin te blokkeren: https://pluralistic.net/2026/07/21/dickovers/#block-element
Veel websites gebruiken anti-ad-block scripts die meldingen tonen waarin de gebruiker een dief of gierigaard wordt genoemd. Negeer deze meldingen: als een website "programmatische" advertenties gebruikt die willekeurige derde partijen toestaan om miljarden mensen te bespioneren en individuen te targeten voor overnames van apparaten, dan is de prijs om hun content te zien simpelweg te hoog.
Sommige sites gaan verder en eisen dat je je ad-blocker uitschakelt of betaalt voor een abonnement. Dit "pay or okay"-schema is illegaal in Europa, Californië en andere regio's met sterke privacywetgeving, en is daarnaast moreel failliet. Privacy zou geen luxeproduct mogen zijn; iedereen verdient het om veilig te zijn voor cyberaanvallen: https://noyb.eu/en/noybs-pay-or-okay-report-how-companies-make-you-pay-privacy
Surveillance-advertenties versus context-advertenties
Dit rapport biedt tevens een weerlegging van het gevaarlijke idee dat we de concurrentie in de ad-techsector zouden moeten verbeteren door elke internetgebruiker een verplichte, door de overheid uitgegeven advertentie-ID te geven om targeting en follow-up (door de sector "attributie" genoemd) te "democratiseren": https://pluralistic.net/2024/08/07/revealed-preferences/#extinguish-v-improve
Het probleem hier is niet reclame op zich, maar surveillance. De ad-techsector heeft adverteerders ervan overtuigd dat het targeten van gebruikers (in plaats van content) de prestaties van advertenties enorm verbetert. Het bewijs hiervoor is zeer zwak: getargete advertenties verbeteren de click-through rate met minder dan 5% ten opzichte van content-gebaseerde advertenties (die aansluiten bij de inhoud van de pagina), terwijl ze ongelooflijk duur en gevaarlijk zijn om te serveren.
Bovendien verschuiven surveillance-gebaseerde advertenties de macht van uitgevers (die meer weten over hun eigen materiaal dan welk ad-techbedrijf ook) naar spionerende ad-techbedrijven. De geringe extra inkomsten die surveillance-advertenties genereren, worden volledig tenietgedaan door de kosten van de operaties van de ad-techsector. Deze sector compenseert dit door zwaar te onderinvesteren in beveiliging en door samen te spannen om uitgevers en adverteerders te bedriegen (door meer te rekenen voor advertenties en minder te betalen aan de websites die ze tonen), zoals beschreven in het "Jedi Blue"-project: https://en.wikipedia.org/wiki/JediBlue
Als we de concurrentie in advertentiediensten willen verbeteren, is het antwoord niet het faciliteren van spionage. We zouden surveillance-advertenties volledig moeten verbieden en context-gebaseerde advertenties moeten herstellen als de manier waarop uitgevers een eerlijk inkomen verdienen zonder hun publiek te verraden: https://pluralistic.net/2023/05/31/context-ads/#class-formation
Groetjes,