Phát hiện hình thức tấn công 'zero-click' qua quảng cáo, giới phân tích cảnh báo nguy cơ an ninh toàn cầu

Chỉ cần truy cập một trang web hoặc làm mới một ứng dụng cũng đủ để trở thành nạn nhân của một cuộc tấn công phần mềm độc hại khiến dữ liệu cá nhân bị đánh cắp khỏi máy tính hoặc điện thoại. Nạn nhân thậm chí không cần "nhấp" vào bất cứ thứ gì.

Theo các nhà nghiên cứu, một công ty phần mềm gián điệp của Israel đứng sau trường hợp đầu tiên được biết đến của hình thức "zero-click" qua quảng cáo mục tiêu, trong đó kẻ gian hoặc gián điệp có thể đánh cắp dữ liệu riêng tư và gửi đến các máy chủ bên ngoài. Các nhà báo của Al Jazeera nằm trong số nạn nhân.

Vào tháng 6/2025, 45 thiết bị được nhân viên Al Jazeera sử dụng – trong đó có nhiều người đưa tin về các chủ đề nhạy cảm – đã bị tấn công bằng phần mềm gián điệp tự cài đặt mà không cần mở hay tải xuống bất kỳ tệp nào.

Một cuộc điều tra của Citizen Lab, đơn vị nghiên cứu học thuật có trụ sở tại Canada, được thúc đẩy bởi cuộc điều tra nội bộ ban đầu của Al Jazeera, đã phát hiện công ty Candiru của Israel đứng sau các cuộc tấn công này.

Các nhà phân tích nhận định những phát hiện này "cực kỳ đáng lo ngại" vì chúng xác nhận sự tồn tại của một mối đe dọa an ninh toàn cầu mới. "Chúng tôi biết mình đang đi theo hướng này và giờ đây nó đã được công khai," Remesh Srinivasan, giáo sư nghiên cứu thông tin tại Đại học California ở Los Angeles (Mỹ), nói với Al Jazeera.

"Đây là cấp độ tiếp theo, bởi vì con người đang bị nhắm mục tiêu siêu nhỏ," ông nói. "Đây là điểm chúng ta đã đạt tới khi nói về hoạt động giám sát."

Cách thức hoạt động của mã độc 'zero-click'

Đội công nghệ nội bộ của Al Jazeera lần đầu phát hiện các dấu hiệu bất thường trên thiết bị của một số nhà báo vào năm 2024. Việc phân tích nhật ký mạng do Al Jazeera cung cấp cho Citizen Lab vào năm 2025 đã cho thấy dấu vết thời gian rõ ràng về cách cuộc tấn công được thực hiện.

Quảng cáo độc hại được mua bởi Discover-Tech, một công ty Israel tự giới thiệu là hãng quảng cáo hợp pháp nhưng thực chất hoạt động như đơn vị hỗ trợ cho các đối tác phần mềm gián điệp đánh thuê.

Mạng lưới quảng cáo của công ty này nhận diện nhân viên Al Jazeera, sau đó âm thầm chuyển hướng họ đến một máy chủ bị nhiễm độc thuộc về Candiru. Hãng phần mềm gián điệp này đã bị chính phủ Mỹ đưa vào danh sách đen năm 2021, khi Citizen Lab phát hiện họ chịu trách nhiệm cho việc hack và giám sát bất hợp pháp ít nhất 100 nhà hoạt động, nhà báo và nhân vật chính trị trên 10 quốc gia.

Al Jazeera Media Network đã lên án việc nhắm mục tiêu vào thiết bị của nhân viên và kêu gọi những người chịu trách nhiệm phải bị xử lý.

Nhà phân tích an ninh mạng và tác giả Eddy Willems cho biết các quảng cáo được sử dụng sẽ tự động lây nhiễm thiết bị ngay khi chúng xuất hiện trên màn hình, nhưng có một sắc thái kỹ thuật quan trọng. "Việc thực thi mã bên trong trình duyệt không tự động cho kẻ tấn công toàn quyền kiểm soát máy tính," Willems nói với Al Jazeera.

"Để thoát khỏi môi trường biệt lập của trình duyệt – 'sandbox' – kẻ tấn công có thể cần một lỗ hổng thứ hai," Willems nói, đồng thời cho biết một chiến dịch phần mềm gián điệp tinh vi có thể kết hợp nhiều lỗ hổng.

"Kẻ tấn công cố gắng khai thác các lỗ hổng để vượt qua ranh giới bảo mật. Đây chính xác là điều khiến loại tấn công này trở nên nguy hiểm như vậy," nhà phân tích nói.

Một khi thiết bị bị nhiễm, phần mềm độc hại được thiết kế để thu thập nhiều loại dữ liệu nhạy cảm, bao gồm tệp, tài liệu và dữ liệu trình duyệt như cookie, dấu trang và thông tin đăng nhập đã lưu.

Nó cũng có thể ghi lại thao tác bàn phím, chụp màn hình, ghi âm micrô và webcam, đồng thời trích xuất email và tin nhắn từ các nền tảng liên lạc phổ biến. Để tránh kích hoạt các cơ chế bảo mật, phần mềm gián điệp thường sử dụng kênh liên lạc mã hóa và chia nhỏ dữ liệu đánh cắp thành nhiều phần gửi đi theo thời gian.

Quảng cáo: Một mối đe dọa an ninh toàn cầu mới?

Các nhà phân tích cho rằng phát hiện của Citizen Lab cho thấy sự leo thang của một mối đe dọa đã tồn tại, mở rộng quy mô và phạm vi của các cuộc tấn công mạng truyền thống, đồng thời khiến chúng khó bị phát hiện hơn nhiều.

Dù các cuộc tấn công "zero-click" không hoàn toàn mới, những phát hiện này mô tả một kỹ thuật mới, trong đó quảng cáo trực tuyến được dùng làm con đường lây nhiễm.

Stephen O'Shaughnessy, giảng viên an ninh mạng tại cơ sở TU Dublin Blanchardstown ở Ireland, giải thích rằng khi người dùng mở một trang web hoặc ứng dụng, một phiên đấu giá tự động sẽ bán vị trí quảng cáo trong tích tắc. Phiên đấu giá đó chia sẻ dữ liệu về nạn nhân, bao gồm ID thiết bị, địa chỉ IP, vị trí tương đối và ứng dụng hoặc trang web họ đang truy cập.

"Discover-Tech giả danh một nhà quảng cáo thông thường, dùng dữ liệu đó để tìm mục tiêu và thắng phiên đấu giá cho màn hình của người đó," O'Shaughnessy nói với Al Jazeera. "Bất kỳ ai có điện thoại hoặc trình duyệt hiển thị quảng cáo đều có thể bị tiếp cận, mà kẻ tấn công không cần số điện thoại hay email của họ."

"Vì không có tin nhắn hay liên kết nào liên quan, nạn nhân gần như không có gì để nhận ra," ông nói thêm.

Discover-Tech từng xuất hiện trong danh sách các nhà cung cấp "được chứng nhận" và "được phê duyệt" do Google và hiệp hội ngành quảng cáo IAB Europe duy trì, và đã phân phối quảng cáo qua các mạng lưới lớn như Google, Yandex và Beeswax.

Trong báo cáo của mình, Citizen Lab cho rằng điều này phản ánh những lỗ hổng cấu trúc trong hệ thống quảng cáo trực tuyến, vốn về cơ bản đã thất bại trong việc phát hiện hoặc ngăn chặn hành vi lạm dụng.

Citizen Lab phát hiện quảng cáo của Discover-Tech đã xuất hiện trên thiết bị của nhân sự thuộc các mạng lưới nhạy cảm về an ninh quốc gia trên khắp thế giới, bao gồm nhiều bộ quốc phòng, lực lượng vũ trang, cơ quan an ninh mạng quốc gia, tổ chức liên chính phủ và cơ quan truyền thông.

Đơn vị nghiên cứu cho biết những quảng cáo này cũng xuất hiện trên các mạng lưới được Liên Hợp Quốc, NATO, Nghị viện châu Âu, Ủy ban châu Âu và Ban thư ký Hội đồng Liên minh châu Âu sử dụng.

'Gần như không ai để mắt tới'

Các mạng lưới chính phủ cũng bị nhắm mục tiêu tại ít nhất 24 quốc gia, bao gồm Mỹ, Italy, Đan Mạch, Na Uy, Australia, Nga, Mexico và chính Israel. Theo Citizen Lab, mạng lưới của các tổ chức truyền thông cũng bị nhắm mục tiêu, chủ yếu ở Australia, Đan Mạch và Thụy Điển.

Trong một báo cáo riêng, công ty an ninh quảng cáo Confiant có trụ sở tại New York cho biết các cuộc điều tra của họ cũng phát hiện một số quảng cáo của Discover-Tech xuất hiện trong các mạng lưới quan trọng được Lầu Năm Góc, Cơ quan Năng lượng Nguyên tử Quốc tế của Liên Hợp Quốc và Tòa án Hình sự Quốc tế sử dụng.

O'Shaughnessy cho biết chưa xác nhận việc lây nhiễm tại những nơi đó – chỉ mới xác định được hồ sơ người dùng. "Nhưng chỉ riêng điều đó đã đáng lo ngại," ông nói. "Hệ thống quảng cáo được xây dựng để gửi mã từ người lạ đến hàng tỷ màn hình với khả năng nhắm mục tiêu chính xác. Gần như không ai theo dõi nó từ góc độ bảo mật."

Nhà phân tích cho rằng rủi ro vẫn thấp với hầu hết mọi người vì những cuộc tấn công này tốn kém và nhắm vào mục tiêu cụ thể. "Với những cá nhân có rủi ro cao như nhà báo và quan chức, biện pháp phòng vệ đầu tiên tốt nhất là cài trình chặn quảng cáo, tắt ID quảng cáo trong cài đặt quyền riêng tư của điện thoại, cập nhật mọi thứ và bật Lockdown Mode hoặc Advanced Protection của Android," ông nói.

Các biện pháp phòng ngừa cũng cần được thực hiện trong ngành và ở cấp chính phủ. "Để chống lại điều này, ngành quảng cáo cần sàng lọc kỹ lưỡng ai đang mua quảng cáo," O'Shaughnessy nói, trong khi "các cơ quan quản lý cần ngăn chặn việc dữ liệu cá nhân bị phát tán cho hàng nghìn nhà đấu giá không rõ danh tính trong mỗi phiên."