Discover-Tech, израильская рекламная фирма, ранее связанная с поставкой шпионского ПО zero-click, стала лидером по количеству показов рекламы Starlink в 105 странах, согласно новому отчету Reuters. Исследователи полагают, что это указывает на масштабную операцию по отслеживанию пользователей спутникового интернет-сервиса SpaceX.
Джон Скотт-Рейлтон, старший научный сотрудник Citizen Lab Университета Торонто, сообщил в X, что данные TrendAI свидетельствуют о существовании «глобальной операции по наблюдению за пользователями @Starlink».
Discover-Tech ранее упоминалась в отчете Citizen Lab от 15 октября как покупатель обычной рекламы, которая доставляла шпионское ПО Candiru на устройства Al Jazeera без какого-либо взаимодействия с пользователем. Candiru — израильский поставщик наемного шпионского ПО (ныне переименованный в Integrity Labs), разрабатывающий инструменты, способные незаметно компрометировать телефоны и компьютеры. В 2021 году Бюро промышленности и безопасности Министерства торговли США внесло Candiru в список торговых ограничений, известный как Entity List, из-за опасений, что компания поставляла технологии наблюдения, используемые против журналистов, активистов и государственных чиновников.
В первоначальном отчете Citizen Lab о Discover-Tech и Candiru, опубликованном пару недель назад, было описано первое публичное техническое подтверждение наемного шпионского ПО zero-click, доставляемого через таргетированную рекламу. Исследователи сообщили, что они выявили по меньшей мере 45 устройств в Al Jazeera, зараженных шпионским ПО Candiru в 2024 и 2025 годах. Citizen Lab использовала сетевые журналы для реконструкции последовательности событий: устройства связывались с инфраструктурой Discover-Tech при загрузке рекламы, а через несколько секунд — с сервером валидации Candiru.
Discover-Tech позиционировала себя как легитимная рекламная компания и имела статус сертифицированного или одобренного поставщика у Google и IAB Europe с 2020 года до начала этого месяца. Анализ примерно четырех миллиардов записей о торгах с марта по июнь 2026 года показал, что Discover-Tech разместила около 3,77 миллиарда ставок и выиграла примерно 442 миллиона аукционов. Реклама с ее скриптовыми тегами появлялась в 75 373 приложениях для Android и iOS и на 120 768 веб-сайтах.
Компания потратила около 109 000 долларов (100 820 евро) за этот период без зарегистрированных конверсий, что исследователи привели в качестве дальнейшего доказательства того, что эта деятельность не являлась коммерческой рекламной кампанией. По данным Citizen Lab и параллельного расследования фирмы по безопасности рекламы Confiant, реклама достигала сетей, связанных с НАТО, Европейским парламентом, Министерством обороны США, Международным агентством по атомной энергии и Международным уголовным судом.
В ответ на расследование Google прекратил доступ Discover-Tech к своим рекламным платформам, сообщив Citizen Lab, что заблокировал компанию от участия в торгах или показа рекламы в экосистеме Google. IAB Europe исключила ее из своего Глобального списка поставщиков 8 октября.
Выводы TrendAI о торгах Starlink
В тот же день, когда Citizen Lab опубликовала свой отчет, TrendAI выпустила анализ рекламной технологической компании, которую она обозначила как SHADOW-EARTH-79. Исследование проанализировало рекламную телеметрию и обнаружило, что эта компания была победителем №1 по количеству показов рекламы в трафике Starlink в 105 странах. На нее приходилось примерно 12,9% выигранных рекламных объявлений в выборке Starlink по сравнению с 2,6% в общем трафике, что почти в пять раз превышает средний показатель и является самым высоким ростом среди покупателей с большим объемом сделок.
Перекос был особенно выражен в нескольких конкретных странах. SHADOW-EARTH-79 получила 91,3% наблюдаемых выигрышей в Starlink в Аргентине, 89,1% на Филиппинах и 82,6% в Японии. Она также была ведущим участником торгов в Сирии, Ливии, Йемене и Южном Судане, а также заняла второе место в Афганистане — на рынках, где, как отметила TrendAI, «спрос на легитимную западную рекламу в странах под санкциями или в зонах активных конфликтов фактически равен нулю». Аналогичное доминирование наблюдалось в Венгрии, Израиле, Египте, Азербайджане и Венесуэле.
TrendAI с умеренной или высокой степенью уверенности пришла к выводу, что модели торгов соответствуют «инфраструктуре таргетирования и отслеживания, а не коммерческой рекламной операции».
Эти выводы особенно примечательны, поскольку несколько вышеупомянутых стран ограничивают или запрещают Starlink, что означает, что пользователи, которым удается получить доступ к сервису, могут находиться в условиях, когда спутниковая связь политически чувствительна или находится под пристальным вниманием правительства. Например, Starlink был одним из ряда инструментов, включая Bitcoin и клон Bitchat, используемых иранскими гражданами в январе во время антиправительственных протестов, несмотря на попытки иранского режима пресечь использование спутникового интернет-провайдера. Концентрация ставок на автономной системе SpaceX поэтому дала покупателю необычайно сильную видимость в отношении пользователей, которых иначе было бы труднее достичь через обычную интернет-инфраструктуру.
Reuters связывает SHADOW-EARTH-79 с Discover-Tech
Во вторник Reuters сообщило, ссылаясь на шесть источников, знакомых с исследованием, что SHADOW-EARTH-79 — это внутреннее кодовое имя TrendAI для Discover-Tech. Источники сообщили, что исследователи полагали, что реклама, вероятно, использовалась для геолокации или иного наблюдения за пользователями Starlink. TrendAI рассматривала возможность упоминания компании в своем отчете от 15 октября, но в итоге отказалась после того, как руководство выразило юридические опасения, по словам людей, знакомых с обсуждениями.
Сочетание двух расследований ставит Discover-Tech в центр как задокументированной доставки шпионского ПО, так и широкой, аномальной кампании торгов, сосредоточенной на трафике Starlink. Хотя исследователи публично не подтвердили заражение устройств Starlink, та же рекламная инфраструктура, ранее использовавшаяся для доставки шпионского ПО Candiru, стала основным источником рекламы, показанной пользователям Starlink в более чем 100 странах, включая несколько, где сам сервис сталкивается с ограничениями.
В дополнение к представлению данных TrendAI как доказательства глобальной операции по наблюдению за пользователями Starlink, Скотт-Рейлтон указал на предыдущие сообщения Haaretz об израильских компаниях, продающих инструменты, предназначенные для обнаружения терминалов Starlink и, в некоторых случаях, идентификации их пользователей. Процесс торгов в реальном времени в рекламной экосистеме, который передает подробные данные об устройствах и местоположении каждому участвующему покупателю, предоставляет готовый механизм для такого отслеживания без необходимости компрометации собственной инфраструктуры Starlink.
Разоблачитель АНБ Эдвард Сноуден давно описывает инфраструктуру онлайн-рекламы как неотъемлемую часть наблюдения, а не как побочный эффект работы интернета. «Ваш смартфон транслирует ваше точное местоположение тысячи раз в день десяткам различных компаний. Каждая из них имеет возможность следить за людьми, куда бы они ни пошли, почти в реальном времени», — написал он в X в 2019 году. «Это не сбой в системе. Это и есть система».
Точные данные о местоположении такого рода, наряду с другими метаданными, связанными с личными сообщениями, финансовыми записями банков и дополнительными коммерческими наборами данных, часто становятся доступны тому, кто больше заплатит. Часто это включает различные правоохранительные органы, стремящиеся обойти традиционные конституционные ограничения на массовое наблюдение, как это видно в недавнем случае использования пограничной службой финансовых данных для принятия решения о том, кого остановить.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Kyle Torpey
