Bir Reklamla Bilgisayarınıza Sızabiliyorlar! Üstelik Tıklamanız Gerekmiyor

İnternette bir haber okurken veya telefonunuzda oyun oynarken karşınıza çıkan reklam, bilgisayarınıza casus yazılım yüklemek için kullanılabilir mi? Üstelik reklama tıklamadan, herhangi bir dosya indirmeden ve hiçbir izin vermeden. Toronto Üniversitesi bünyesindeki Citizen Lab araştırmacılarının 15 Ekim 2026 tarihinde yayımladığı kapsamlı teknik rapor, bunun yalnızca teorik bir olasılık olmadığını ortaya koyuyor.

The Guardian'ın haberleştirdiği araştırma, İsrail merkezli Discover-Tech adlı şirketin dijital reklam altyapısını gözetleme ve hedefli siber saldırılar için kullandığına ilişkin teknik kanıtlar sunuyor. Araştırmacıların AdFection adını verdiği yöntemin Al Jazeera bünyesindeki cihazlara Candiru adlı ticari casus yazılımın bulaştırılmasında kullanıldığı yüksek güven düzeyiyle tespit edildi.

Bir reklam nasıl casus yazılıma dönüşüyor?

İnternette görülen reklamların büyük bölümü, kullanıcı bir sayfa açtığı anda gerçekleşen otomatik açık artırmalarla belirleniyor. Reklam şirketleri, kullanıcının bulunduğu konum, cihazı, reklam tanımlayıcıları ve çeşitli davranışsal veriler üzerinden saniyenin çok küçük bir bölümünde teklif veriyor.

Discover-Tech'in bu sistemi kötüye kullandığı öne sürülüyor. Şirketin Controlium adlı platformu, farklı reklam ağlarından elde edilen tanımlayıcıları birleştirerek belirli kullanıcıların cihazlarını bulabiliyor. Hedeflenen kişinin karşısına reklam çıkarıldığında reklamın içindeki JavaScript kodu uzak bir sunucuyla iletişim kuruyor.

Araştırmacıların incelediği altyapıda sunucu, cihazın saldırı için seçilip seçilmediğine karar veriyor. Seçilmemiş kullanıcıların cihazlarından bilgi toplanabilirken, hedef olarak belirlenen cihazlara ek zararlı kod gönderilebiliyor. Bu kod, tarayıcı veya uygulamadaki güvenlik açıklarından yararlanarak casus yazılımın kurulmasını sağlayabiliyor.

Bu saldırı türüne zero-click, yani sıfır tıklama deniliyor. Ancak önemli bir ayrıntı var. Her reklam otomatik olarak bilgisayara virüs bulaştırmıyor. Casus yazılımın kurulabilmesi için cihazda istismar edilebilir bir güvenlik açığının da bulunması gerekiyor.

Al Jazeera saldırıları nasıl kanıtlandı?

Araştırmanın en güçlü bölümü, 2024 ve 2025 yıllarında Al Jazeera bünyesindeki en az 45 cihazı hedef alan saldırılarla ilgili. Citizen Lab, yayın kuruluşundan aldığı ağ kayıtlarında Discover-Tech sunucularıyla başlayan ve Candiru altyapısına uzanan bağlantı zincirini inceledi.

Araştırmacılar ayrıca ele geçirilmiş bir Windows cihazından çıkarılan zararlı DLL dosyasını analiz etti. Dosyadaki sunucu adresleri, kalıcılık yöntemleri ve kod gizleme teknikleri, daha önce incelenmiş Candiru casus yazılımıyla önemli benzerlikler gösteriyordu.

Bu bulgular, olayın yalnızca şüpheli reklam gösterimlerinden ibaret olmadığını ortaya koyuyor. Araştırmacılar, reklam altyapısı ile gerçek casus yazılım bulaşması arasında teknik bağlantı kurduklarını belirtiyor.

Bununla birlikte 45 sayısı, en az 45 cihazın hedef alındığını ifade ediyor. Yayımlanan bulgular bu cihazların tamamının başarıyla ele geçirildiği anlamına gelmiyor.

Milyonlarca insanın verisi toplandı mı?

Citizen Lab, Discover-Tech'e ait dört milyar reklam teklif kaydını inceledi. Dört aylık dönemde şirketin reklamlarının yaklaşık 200 bin farklı internet sitesi ve mobil uygulamada gösterildiği belirlendi.

Reklamların Birleşmiş Milletler, NATO ve çeşitli devlet kurumlarıyla ilişkili ağlara da ulaştığı görüldü. Ancak bu kurumların sistemlerine casus yazılım bulaştırıldığı doğrulanmış değil. Reklam gösterimi, kullanıcı bilgilerinin toplanması ve cihazın ele geçirilmesi teknik olarak birbirinden farklı olaylar.

Araştırma, Discover-Tech'in reklamlarının milyonlarca cihazı Candiru sunucularına yönlendirdiğini de ortaya koyuyor. Bu ölçekteki bağlantılar kitlesel takip ve hedef belirleme amacıyla kullanılmış olabilir. Fakat milyonlarca kişinin cihazına casus yazılım bulaştığını söylemek için yeterli kanıt bulunmuyor.

Komplo teorisi mi, gerçek bir güvenlik açığı mı?

Araştırmanın temel iddiası yalnızca varsayımlara dayanmıyor. Ağ trafiği kayıtları, zararlı yazılım örnekleri, reklam teklif verileri ve şirketin yazılım altyapısına ilişkin analizler birbirini destekliyor.

Üstelik konuyu yalnızca Citizen Lab incelemedi. Reklam güvenliği alanında çalışan Confiant da ayrı bir araştırma yürüttü. Reuters, Financial Times ve Wired gibi yayınlar bulguları bağımsız haberlerle kamuoyuna aktardı.

Google ve Avrupa reklamcılık kuruluşu IAB Europe, Discover-Tech'i onaylı reklam sağlayıcı listelerinden çıkardı. Google ve Beeswax şirketin reklam sistemlerine erişimini sonlandırırken diğer bazı reklam platformları da hesapları engelledi veya incelemeye aldı.

Bununla birlikte saldırıların tüm dünyadaki kapsamı, bütün hedeflerin kimlikleri ve elde edilen verilerin nasıl kullanıldığı henüz kesinleşmiş değil. Discover-Tech'in doğrudan hangi saldırıları yönettiği ve üçüncü taraf müşterilerinin faaliyetlerinden ne ölçüde sorumlu olduğu da ayrıca araştırılması gereken konular arasında.

Peki kullanıcılar ne yapabilir?

Bu olay, dijital reklamların yalnızca kişisel verilerin gizliliği açısından değil, cihaz güvenliği açısından da risk oluşturabildiğini gösteriyor. Tarayıcıları, işletim sistemlerini ve uygulamaları güncel tutmak, güvenilir reklam engelleme çözümleri kullanmak ve gereksiz uygulama izinlerini sınırlandırmak saldırı yüzeyini azaltabilir.

Ancak reklam engelleyici kullanmak veya güncelleme yapmak bütün zero-click saldırılarını kesin olarak önlemiyor. Özellikle henüz bilinmeyen güvenlik açıkları üzerinden gerçekleştirilen saldırılar, kullanıcıların herhangi bir hatası olmadan da başarılı olabiliyor.

Citizen Lab'ın araştırmasıyla ortaya çıkan asıl sorun, internet reklamcılığının çalışma biçiminde yatıyor. Kullanıcıları tanımak ve doğru reklamı göstermek amacıyla kurulan devasa veri altyapısı, aynı kullanıcıları belirlemek ve cihazlarına saldırmak için de kullanılabiliyor. Bu nedenle yalnızca bireysel güvenlik önlemlerinin değil, reklam şirketlerinin denetlenmesinin de tartışılması gerekiyor.