जाहिरात तंत्रज्ञान स्पायवेअर पोहोचवण्याचे माध्यम बनल्याचा संशोधकांचा दावा
टोरंटो विद्यापीठाच्या डिजिटल तपासणी विभागातील Citizen Lab संशोधकांच्या मते, ऑनलाइन जाहिरात प्रणालींचा वापर केवळ प्रेक्षकांपर्यंत पोहोचण्यासाठी नव्हे, तर वैयक्तिक उपकरणांची माहिती गोळा करून त्यांना गुप्तपणे स्पायवेअरद्वारे लक्ष्य करण्यासाठीही केला जाऊ शकतो. Guardian च्या वृत्तात Discover-Tech या इस्रायली कंपनीवर लक्ष केंद्रित करण्यात आले आहे. ही कंपनी स्वतःला विशेषीकृत डिजिटल जाहिरात संस्था म्हणते.
Discover-Tech Controlium नावाचे सॉफ्टवेअर प्लॅटफॉर्म चालवते, असे Citizen Lab चे म्हणणे आहे. या प्लॅटफॉर्ममुळे ग्राहकांना इंटरनेट वापरकर्त्यांची मोठ्या प्रमाणावर माहिती गोळा करून त्यांची ओळख उघड करता येते आणि निवडक लक्ष्यांपर्यंत तृतीय पक्षाचे भाडोत्री स्पायवेअर पोहोचवता येते, असा संशोधकांचा आरोप आहे. लक्ष्य व्यक्तीने दुर्भावनापूर्ण लिंकवर क्लिक करणे, अटॅचमेंट उघडणे किंवा हल्लेखोराशी इतर कोणत्याही प्रकारे संवाद साधणे आवश्यक नसल्याने ही कथित पद्धत विशेष ठरते.
या वर्णनानुसार, एखाद्या व्यक्तीला मोबाइल सेवा किंवा डिजिटल गेमच्या जाहिरातीसारखी दिसणारी सामान्य कस्टम जाहिरात दाखवली जाऊ शकते. जाहिरात प्रक्रियेत इंटरनेट प्रोटोकॉल पत्ता यासारखी ओळख दर्शवणारी माहिती उघड होऊ शकते. ती व्यक्ती आधीच पाळत ठेवण्यासाठी निवडली असल्यास, स्पायवेअर असलेला दुर्भावनापूर्ण कोड उपकरणावर पाठवला जाऊ शकतो, असे संशोधक म्हणतात.
“झिरो-क्लिक” का महत्त्वाचे आहे
संशयास्पद लिंकवर क्लिक करू नका किंवा अपरिचित फाइल डाउनलोड करू नका, यावर अनेक सुरक्षा इशारे भर देतात. झिरो-क्लिक संसर्ग हे समीकरण बदलतो: उपकरण वापरणाऱ्या व्यक्तीच्या कृतीशिवाय आणि माहितीशिवाय कथित घुसखोरी होते. Citizen Lab च्या मते ही प्रक्रिया काही सेकंदांत पूर्ण होऊ शकते.
यामुळे जाहिरात परिसंस्था विशेषतः महत्त्वाची ठरते. डिजिटल जाहिराती प्रचंड प्रमाणात पोहोचवल्या जातात आणि त्यात अनेक मध्यस्थ, डेटा देवाणघेवाण व स्वयंचलित बोली प्रणाली असतात. Citizen Lab च्या वर्णनानुसार, या पायाभूत सुविधांचा वापर आधी मोठ्या लोकसंख्येतून संभाव्य लक्ष्य ओळखण्यासाठी आणि नंतर निवडक लोकांपर्यंत दुर्भावनापूर्ण payload पाठवण्यासाठी केला जाऊ शकतो.
जाहिरातींचे मोठ्या प्रमाणावर शस्त्रीकरण करण्याची पद्धत म्हणून संशोधकांनी या मॉडेलचे वर्णन केले: लाखो वापरकर्त्यांची व्यापक माहिती गोळा करण्याबरोबरच काही मोजक्या लोकांवर अत्यंत निवडक संसर्ग होऊ शकतो. त्यामुळे चिंता फक्त फसव्या जाहिरातीत मॅलवेअर असण्यापुरती मर्यादित नाही; जाहिराती वैयक्तिकृत करून वितरित करणाऱ्या प्रणाली विशिष्ट उपकरणे पाळतीसाठी शोधण्यातही मदत करू शकतात.
Al Jazeera ची उपकरणे कथित लक्ष्यांमध्ये
Discover-Tech च्या जाहिरातींमधून पोहोचवलेल्या स्पायवेअरमुळे कतारच्या प्रसारमाध्यम संस्था Al Jazeera ची डझनावारी उपकरणे बाधित झाली असावीत, असे Citizen Lab ने म्हटले. जाहिरात दाखवलेल्या प्रत्येक व्यक्तीला संसर्गासाठी लक्ष्य केले होते, असे वृत्त सिद्ध करत नाही. उलट, जाहिरात वितरणामुळे ओळख दर्शवणारी माहिती गोळा करण्याची प्रारंभिक संधी मिळाली आणि त्यानंतर निवडक लक्ष्यांवर हल्ला केला जाऊ शकला, असा संशोधकांचा आरोप आहे.
ही कथित कारवाई एका देशापुरती किंवा संस्थेपुरती मर्यादित नाही. 2024 पासून येमेन, ब्राझील, मेक्सिको आणि Czechia यांसह जगभरातील लाखो वापरकर्त्यांना Discover-Tech च्या जाहिराती दाखवण्यात आल्याचे Citizen Lab म्हणते. अहवालात उद्धृत केलेल्या Confiant या संशोधन गटाच्या स्वतंत्र कामानुसार, युरोप आणि अमेरिकेतील सरकारी संस्था, संयुक्त राष्ट्र, Nato, International Criminal Court आणि International Atomic Energy Agency यांच्याशी संबंधित नेटवर्कवरील वापरकर्त्यांनाही Discover-Tech च्या जाहिराती दाखवण्यात आल्या.
त्या नेटवर्कवरील प्रत्येक वापरकर्ता बाधित झाला, असा याचा अर्थ नाही. मात्र कथित लक्ष्यित कारवाई ज्या जाहिरात-वितरण वातावरणातून होऊ शकते, त्याची व्याप्ती यावरून दिसते.
एका मोहिमेपेक्षा मोठी समस्या
जाहिरात प्लॅटफॉर्म, प्रकाशक आणि इंटरनेटशी जोडलेल्या उपकरणांवर अवलंबून असलेल्या संस्थांसाठी हे प्रकरण कठीण सुरक्षा समस्या अधोरेखित करते. जाहिराती वेबसाइट आणि अॅपमध्ये समाविष्ट करण्यासाठी तयार केल्या जातात आणि त्या अनेकदा साइट ऑपरेटरकडून थेट न येता गुंतागुंतीच्या पुरवठा साखळ्यांमधून पोहोचतात. हे प्रमाण वैध व्यावसायिक संवादासाठी उपयुक्त असले तरी गैरवापर त्वरेने ओळखणे कठीण करू शकते.
मोठ्या जाहिरात विक्रेत्यांनी आणि संस्थांनी कथित दुर्भावनापूर्ण जाहिरात कारवायांचा अनेक वर्षे शोध घेतला नाही किंवा त्यांना थांबवले नाही, हे चिंताजनक असल्याचे Citizen Lab चे संशोधक Wolfie Christl यांनी म्हटले. उपकरणांची सुरक्षा केवळ वापरकर्त्यांनी सावध निवडी करण्यावर अवलंबून राहू शकत नाही, हा त्याचा मुख्य अर्थ आहे. घुसखोरी खरोखर झिरो-क्लिक असेल, तर संशयास्पद संवाद टाळण्याचा नेहमीचा सल्ला मर्यादित संरक्षण देतो.
व्यापक तंत्रज्ञान क्षेत्रासाठी, जाहिरात मध्यस्थ, त्यांनी गोळा केलेला डेटा आणि जाहिराती पोहोचवू शकणाऱ्या कोडची अधिक काटेकोर तपासणी करण्याचा दबाव या निष्कर्षांमुळे वाढतो. स्पायवेअर तपासणीत पाळत ठेवणारे सॉफ्टवेअर तयार करणाऱ्या कंपनीपुरतेच लक्ष न देता exploit भोवतालच्या तांत्रिक व व्यावसायिक पायाभूत सुविधांकडेही का पाहिले जाते, हे आरोप अधोरेखित करतात.
अजून काय सिद्ध होणे बाकी आहे
अहवालातील निष्कर्ष हे संशोधकांचे आरोप आहेत आणि त्यांचे मूल्यमापन तांत्रिक पुरावे तसेच संबंधित कंपन्यांच्या प्रतिक्रियांसोबत केले पाहिजे. तरीही, जाहिरात-तंत्रज्ञानातील माहिती संकलन आणि व्यावसायिक स्पायवेअर यांच्या संगमाबाबत हे विवरण स्पष्ट इशारा देते: ऑनलाइन प्रेक्षक ओळखून त्यांच्यापर्यंत पोहोचण्यासाठी तयार केलेल्या प्रणाली व्यक्तींना ओळखून त्यांना गुप्तपणे लक्ष्य करण्याच्या संधीही निर्माण करू शकतात.
सामान्य ग्राहक उपकरणे आणि ब्राउझर-आधारित सेवांवर अधिक संवेदनशील कामे होत असताना, साधी जाहिरात आणि सुरक्षेशी संबंधित सॉफ्टवेअर वितरण घटना यांतील सीमारेषा अधिक महत्त्वाची ठरत आहे. लोकांना स्पायवेअरपासून वाचवण्यासाठी संशयास्पद संदेश व फाइल्सबरोबरच कोणती जाहिरात कोणत्या स्क्रीनवर दिसावी हे ठरवणाऱ्या पायाभूत सुविधांकडेही लक्ष द्यावे लागेल, असे संशोधन सूचित करते.
हा लेख The Guardian च्या वृत्तांकनावर आधारित आहे. मूळ लेख वाचा.
Originally published on theguardian.com
