Kenapa Iklan yang Kamu Lihat Bisa Menyadap HP Tanpa Klik?

Kamu tidak perlu mengklik tautan mencurigakan agar ponselmu disadap. Cukup membuka aplikasi atau situs favoritmu, membiarkan sebuah iklan tampil, dan semuanya selesai.

Itulah yang diungkap Citizen Lab dari University of Toronto pada 15 Oktober 2026. Mereka menamai temuannya AdFection: konfirmasi teknis publik pertama bahwa spyware sewaan (mercenary spyware) bisa dikirim lewat iklan bertarget, tanpa satu klik pun dari korban.

Laporannya, yang ditulis Bill Marczak, Wolfie Christl, John Scott-Railton, Astrid Perry, Siena Anstis, dan Ron Deibert, langsung ramai dibahas di komunitas teknologi. Di Hacker News saja, topiknya menembus halaman depan dengan lebih dari 500 komentar, dan diliput The Guardian, The Verge, serta The Register.

Apa Itu AdFection?

Spyware zero-click sebenarnya bukan hal baru. Selama ini serangan semacam itu biasanya dikirim lewat tautan berbahaya, pesan, atau lampiran file. AdFection mengubah permainannya: media pengantarnya adalah iklan online biasa, yang tampil miliaran kali sehari di seluruh dunia.

Prinsipnya sederhana sekaligus mengerikan. Iklan online modern bukan sekadar gambar atau video, melainkan bisa berisi kode yang berjalan di aplikasi atau browser saat iklan ditampilkan. Penyerang menyalahgunakan celah ini untuk memilih target tertentu dan mengirim kode berbahaya persis ke perangkat korban.

Citizen Lab menegaskan bahwa tampilan iklan yang dirender sudah cukup untuk menginfeksi perangkat target secara otomatis. Korban tidak perlu mengeklik, mengunduh, atau membuka apa pun.

Cara Kerjanya: Dari Iklan ke Infeksi

Alur serangannya memanfaatkan lelang iklan real-time (real-time bidding). Setiap kali kamu membuka halaman, para pengiklan berlomba menawar ruang iklan dalam waktu kurang dari sedetik. Untuk bisa menawar, mereka menerima data perangkatmu: ID iklan ponsel, cookie, alamat IP, bahkan lokasi.

Iklan jahat yang berhasil dimenangkan penyerang memuat tag script yang menunjuk ke server milik perusahaan ad-tech bernama Discover-Tech, yang disebut server NOAS atau getAd. Saat iklan dirender, tag ini menghubungi server, mengirimkan ID iklan perangkat, lalu mengeksekusi otomatis kode JavaScript yang dikembalikan.

Server kemudian memutuskan, berdasarkan alamat IP dan ID iklan, apakah perangkat itu layak diserang. Jika cocok dengan target, server mengembalikan kode yang bisa memuat exploit browser lalu memasang spyware. Jika bukan target, server menjawab dengan respons kosong berukuran 0 byte sehingga tidak ada yang terlihat mencurigakan.

Desain ini cerdas sekaligus licik. Kode berbahaya tidak pernah dibagikan langsung ke perusahaan yang menayangkan iklan, sehingga jaringan iklan tidak bisa mendeteksi penyalahgunaannya.

Siapa di Baliknya: Discover-Tech dan Controlium

Pusat operasi ini adalah Discover-Tech, perusahaan Israel yang tampil sebagai perusahaan periklanan biasa. Citizen Lab menemukan bukti teknis bahwa perusahaan ini justru berfungsi sebagai jembatan antara industri iklan dan vendor spyware sewaan.

Senjata utamanya adalah platform bernama Controlium. Lewat panel kendali ini, pelanggan bisa memprofil target secara presisi, menghapus anonimitas perangkat, melakukan fingerprinting, lalu memilih perangkat mana yang akan diserang dengan iklan yang dikendalikan.

Skala operasinya makin mengkhawatirkan karena Discover-Tech menyalahgunakan kerangka persetujuan GDPR untuk menarget pengguna di Uni Eropa, dan menayangkan iklan lewat jaringan besar seperti Google, Yandex, hingga Beeswax. Infrastruktur iklan yang seharusnya netral justru berubah menjadi senjata.

Daftar pelanggan dan mitranya tidak main-main. Ada Candiru, vendor spyware Israel yang kini berganti nama menjadi Integrity Labs. Ada juga Bindecy dan perusahaan intelijen iklan Intelos. Satu aktor terpisah yang disebut DARK CARTOGRAPHER bahkan memakai infrastruktur Discover-Tech untuk mengeksploitasi kerentanan operator seluler dan menghubungkan ID iklan perangkat dengan nomor telepon, sebuah serangan deanonymization massal yang akan dibahas dalam laporan terpisah.

Yang lebih mengejutkan, Discover-Tech sempat tercantum dalam daftar vendor bersertifikat milik Google dan asosiasi industri IAB Europe sejak 2020 hingga 2026. Stempel resmi itu membuatnya tampak sah dan membuka pintu ke ekosistem iklan digital dalam skala besar.

Seberapa Besar Skalanya?

Citizen Lab menganalisis hampir empat miliar catatan lelang iklan Discover-Tech. Selama empat bulan, dari Maret hingga Juni 2026, iklan perusahaan ini tampil di hampir 200.000 situs web dan aplikasi Android/iOS unik di puluhan negara.

Dampak nyatanya sudah terbukti. Dengan keyakinan tinggi, peneliti menghubungkan setidaknya 45 perangkat di jaringan media Al Jazeera yang terinfeksi spyware Candiru pada 2024 dan 2025 dengan iklan Discover-Tech. Selain itu, iklan perusahaan ini diam-diam mengarahkan jutaan perangkat untuk menghubungi server Candiru, kemungkinan untuk pelacakan dan pengintaian skala besar.

Investigasi paralel oleh perusahaan keamanan iklan Confiant, yang mengamati trafik iklan dari 1 April hingga 10 September 2026, memperkuat temuan ini. Setelah pengungkapan, Google mencabut akses Discover-Tech dari platform iklannya, IAB Europe menghapusnya dari daftar vendor, sementara Beeswax, Vungle, dan Eskimi ikut memutus atau memblokir aksesnya.

Apa yang Bisa Kamu Lakukan?

Kabar baiknya, kamu tidak sepenuhnya tak berdaya. Peneliti John Scott-Railton dari Citizen Lab menyarankan satu langkah paling efektif saat ini: blokir iklan sekarang. Pemblokir iklan memutus jalur serangan ini di akarnya, karena iklan berbahaya tidak pernah sempat dirender.

Selain itu, selalu perbarui sistem operasi dan browser ke versi terbaru, karena serangan zero-click biasanya mengandalkan kerentanan yang sudah ditambal. Waspadai juga aplikasi yang meminta izin berlebihan.

Di level yang lebih besar, Citizen Lab mendesak regulator untuk menyelidiki apakah Discover-Tech dan Candiru melanggar hukum yang berlaku, serta meminta industri iklan memperbaiki celah struktural yang memungkinkan penyalahgunaan ini.

Untuk pertahanan berlapis, pertimbangkan browser dengan perlindungan pelacakan bawaan dan matikan personalisasi iklan di pengaturan ponselmu. Langkah kecil ini mengurangi data yang bisa dipakai penyerang untuk menargetmu.

Kasus AdFection membuktikan bahwa ancaman siber modern tidak selalu datang dari tautan mencurigakan. Kadang ia bersembunyi di tempat paling biasa: iklan yang kamu lihat setiap hari. Kalau kamu penasaran dengan proyek dan eksperimen keamananku yang lain, mampir ke /projects.