Израильскую фирму обвинили в слежке и краже данных у пользователей Starlink во всём мире

Израильскую компанию Discover-Tech заподозрили в масштабном сборе данных о пользователях спутникового интернета Starlink через рекламные объявления. По версии исследователей TrendAI и Confiant, компания покупала рекламный трафик Starlink более чем в 100 странах, а объявления могли определять местоположение устройств, собирать сведения о браузерах и приложениях и формировать цифровые профили без единого клика. Отдельное расследование Citizen Lab связало её рекламу с заражением шпионским ПО Candiru устройств журналистов Al Jazeera.

Торги вместо взлома

Схема строилась на RTB (real-time bidding), технологии автоматических торгов за рекламные показы. Пока страница загружается, платформы проводят аукцион, и его участники получают технические сведения о показе и аудитории. TrendAI заметила необычно активного покупателя с кодовым именем Shadow-Earth-79, которого позднее связали с Discover-Tech. В зависимости от реализации рекламный компонент мог собирать сведения сразу нескольких типов:

• характеристики устройства и браузера;
• рекламные идентификаторы;
• данные о приблизительном местоположении.

Из этих следов складывается цифровой профиль, по которому можно следить за привычками человека и его перемещениями между сервисами. Публичные результаты расследования не доказывают, что каждое объявление собирало полный набор данных или что установили личности всех затронутых пользователей.

Нажимать на баннер не нужно, вредоносный компонент способен начать работу с устройством уже после загрузки рекламы.

Журналисты Al Jazeera под прицелом

Самые серьёзные доказательства содержит расследование Citizen Lab от 15 октября 2026 года. Исследователи Университета Торонто с высокой степенью уверенности установили, что купленная Discover-Tech вредоносная реклама использовалась для заражения устройств журналистов Al Jazeera шпионским ПО компании Candiru.

Технику назвали AdFection, то есть заражение через рекламу. Устройство выбирают по данным рекламной системы, после чего объявление перенаправляет его на инфраструктуру злоумышленников, и в ряде случаев клик для этого не требуется. В 2024 и 2025 годах атаке подверглись как минимум 45 устройств сотрудников Al Jazeera. При успешном заражении Candiru получает доступ к целому набору источников сведений на устройстве:

• файлы, документы и данные браузера;
• учётные данные, почта и сообщения;
• запись звука и видео с устройства.

Discover-Tech управляла платформой Controlium, которая помогала партнёрам идентифицировать устройства и запускать атаки автоматически при показе объявления. Анализ примерно четырёх миллиардов записей торгов показал, что за четырёхмесячный период связанные с компанией объявления появились почти на 200 тысячах сайтов и в мобильных приложениях. Confiant обнаружила эту рекламу в сетях трёх структур, интересных для шпионских операций:

• американского оборонного ведомства Пентагона;
• международного агентства по атомной энергии;
• международного уголовного суда.

Присутствие объявления в сети организации не подтверждает заражение её устройств, но указывает на возможность выбора целей.

Почему мишенью стал Starlink

По данным Reuters, Discover-Tech заняла первое место по объёму выигранных торгов в трафике Starlink более чем в 100 странах, в том числе там, где сервис запрещён или ограничен. В Сирии, Ливии, Йемене и Южном Судане компания оказалась крупнейшим покупателем показов, хотя спрос на обычную западную рекламу там крайне низок.

Спутниковая связь востребована там, где обычные сети недоступны или контролируются властями, поэтому данные о местоположении терминалов интересны структурам, которые занимаются разведкой. Starlink в России официально недоступен, но по сообщениям СМИ терминалы попадают в страну через серый импорт, и их владельцы подвержены тем же рискам, хотя данных о кампании против россиян в расследованиях нет.

Google заблокировала Discover-Tech на своих рекламных платформах за систематические нарушения правил, Comcast удалила компанию из рекламной платформы Beeswax, а европейское подразделение Interactive Advertising Bureau приостановило её участие в глобальном списке поставщиков. Discover-Tech и SpaceX на запросы Reuters о комментариях не ответили. Больше всего рискуют журналисты, госслужащие и сотрудники международных организаций, поэтому специалисты рекомендовали несколько мер, которые снижают риск:

• ограничить рекламное отслеживание в настройках устройств и браузеров;
• установить блокировщик рекламы;
• вовремя обновлять операционные системы и приложения;
• активировать усиленные режимы защиты, если риск повышен;
• в компаниях контролировать рекламные компоненты и анализировать подозрительные соединения.

Эксперты CISOCLUB отметили, что рекламные торги стали рынком, где данные об устройствах продаются быстрее, чем кто-либо успевает проверить покупателя. Граница между рекламной аналитикой и шпионажем размывается там, где один канал служит и для показа баннеров, и для выбора мишеней, и для доставки эксплойтов. Злоумышленникам эта связка обходится дешевле классических атак, ведь не нужно взламывать сети спутникового оператора, достаточно купить показы. Россиян это касается напрямую, поскольку RTB применяется и на российских рекламных площадках, а зарубежные сайты с международными рекламными сетями открываются из России в обычном режиме.

Компаниям стоит добавить рекламные цепочки в модель угроз и проверять сторонние скрипты на корпоративных устройствах. Блокировка Discover-Tech крупными платформами закрывает одного покупателя, но технология торгов остаётся прежней, и появление новых игроков с похожими приёмами остаётся вопросом времени.