Израильская Discover-Tech оказалась крупнейшим покупателем рекламы для пользователей Starlink в 105 странах. Исследователи подозревают, что компания использовала рекламные аукционы не для продвижения товаров, а для поиска и отслеживания людей, подключённых к спутниковому интернету.
К такому выводу пришли специалисты TrendAI, подразделения Trend Micro, изучив рекламный трафик. В собранной выборке подозрительный участник выиграл 12,9% торгов за показ объявлений пользователям Starlink, хотя его доля среди всех рекламных показов составляла лишь 2,6%. Необычная концентрация ставок заставила аналитиков предположить, что покупатель целенаправленно интересовался спутниковой сетью.
В отчёте от 15 октября TrendAI скрыла название компании под обозначением SHADOW-EARTH-79. Шесть собеседников Reuters, знакомых с исследованием, назвали организацию Discover-Tech. По словам пяти источников, аналитики хотели раскрыть название сразу, однако руководство опасалось юридических последствий. Сама TrendAI объяснила осторожность стремлением избегать ошибочной атрибуции.
Наиболее необычная активность наблюдалась в странах, где обычный спрос на западную интернет-рекламу невелик. Подозрительный покупатель лидировал по объёму закупок в Сирии, Ливии, Йемене и Южном Судане, а в Афганистане занимал второе место. Среди 105 стран, где компания возглавляла торги за показы пользователям Starlink, встречались государства с запретом или ограничениями спутникового сервиса.
Схема опирается на устройство рекламного рынка. Когда человек открывает сайт или приложение, рекламные площадки проводят мгновенный аукцион. Участники могут получать сведения об IP-адресе, устройстве и других признаках пользователя. Сопоставляя результаты множества торгов с рекламными идентификаторами и историей местоположений, заинтересованная сторона способна строить подробный профиль человека.
Отдельное расследование Citizen Lab* и Confiant ранее связало Discover-Tech с более опасной практикой. По выводам специалистов, рекламная инфраструктура компании помогала доставлять шпионское ПО Candiru без действий со стороны жертвы. Исследователи подтвердили заражения устройств редакции Al Jazeera, но доказательств массового взлома пользователей Starlink не представили. Рекламный показ сам по себе не означает заражения.
После публикации расследований Google, Comcast и другие участники рекламного рынка закрыли Discover-Tech доступ к своим платформам. Крупная американская технологическая компания и международная организация также начали внутренние проверки, пытаясь выяснить, попадали ли их сотрудники под прицел. Discover-Tech, её руководитель и SpaceX не ответили на запросы о комментариях.
Интерес к поиску терминалов Starlink связан с возможностью обходить ограничения местных операторов связи. Спутниковая сеть играет заметную роль и в военных коммуникациях на Украине. Ранее сообщалось о коммерческих системах, которые определяют местоположение пользователей Starlink по цифровым следам, не взламывая спутники и не перехватывая радиосигнал.
* Citizen Lab входит в структуру Школы международных отношений и государственной политики имени Питера Мунка, деятельность которой признана нежелательной на территории Российской Федерации.