PANDUTEKNO.ID – Spyware zero-click lewat iklan digital menjadi ancaman baru bagi keamanan pengguna internet. Peneliti keamanan siber dari Citizen Lab, University of Toronto, mengungkap teknik serangan bernama AdFection yang memungkinkan perangkat tertentu terinfeksi spyware tanpa pengguna harus mengeklik iklan.
Temuan tersebut dipublikasikan pada Kamis, 15 Oktober 2026, melalui laporan investigasi Citizen Lab bersama perusahaan keamanan iklan digital Confiant.
Penelitian itu mengungkap dugaan penyalahgunaan jaringan periklanan digital oleh perusahaan asal Israel, Discover-Tech, untuk membantu penyebaran spyware komersial.
Serangan tersebut dilaporkan digunakan untuk menargetkan perangkat di jaringan media internasional Al Jazeera.
Temuan ini menunjukkan bahwa ancaman keamanan digital tidak selalu berasal dari tautan mencurigakan atau aplikasi palsu. Dalam kondisi tertentu, iklan yang dimuat pada situs web atau aplikasi juga dapat menjadi sarana serangan.
Apa Itu Spyware Zero-Click Lewat Iklan Digital?
Spyware zero-click merupakan perangkat lunak pengintai yang dapat menginfeksi perangkat tanpa memerlukan tindakan langsung dari korban.
Berbeda dengan penipuan phishing, serangan ini tidak selalu membutuhkan pengguna untuk membuka tautan, mengunduh lampiran, atau menekan tombol tertentu.
Dalam kasus AdFection, peneliti menemukan bahwa kode berbahaya dapat dikirim melalui sistem periklanan ketika iklan ditampilkan pada perangkat yang menjadi target.
Teknik tersebut memanfaatkan mekanisme penayangan iklan otomatis yang banyak digunakan oleh situs web dan aplikasi.
Namun, tidak semua iklan digital mengandung spyware.
Serangan AdFection merupakan operasi pengintaian terarah yang memanfaatkan infrastruktur periklanan tertentu dan kemampuan eksploitasi perangkat.
Citizen Lab Ungkap Teknik Serangan AdFection
Citizen Lab menyebut temuannya sebagai konfirmasi teknis publik pertama mengenai penyebaran spyware komersial melalui iklan tertarget dengan mekanisme zero-click.
Dalam investigasi tersebut, peneliti menemukan hubungan antara jaringan iklan Discover-Tech dan spyware yang dikembangkan oleh Candiru.
Candiru merupakan perusahaan pengembang perangkat pengawasan asal Israel yang masuk daftar pembatasan perdagangan Amerika Serikat pada 2021.
Laporan Citizen Lab menjelaskan bahwa Discover-Tech mengoperasikan platform bernama Controlium.
Platform tersebut diduga memungkinkan mitra perusahaan melakukan identifikasi perangkat, mengumpulkan informasi pengguna, dan memilih target pengintaian.
Dengan demikian, jaringan periklanan dapat disalahgunakan sebagai jalur untuk menjangkau perangkat tertentu.
Bagaimana Iklan Digital Bisa Menjadi Jalur Peretasan?
Sistem iklan digital biasanya bekerja melalui proses lelang otomatis atau real-time bidding.
Ketika seseorang membuka situs web atau aplikasi, sistem periklanan memilih iklan yang akan ditampilkan berdasarkan berbagai informasi.
Informasi tersebut dapat mencakup alamat IP, pengenal iklan perangkat, serta data lain yang digunakan untuk menentukan sasaran iklan.
Dalam kasus AdFection, peneliti menemukan bahwa sistem tersebut dapat dimanfaatkan untuk mengenali perangkat tertentu.
Setelah perangkat yang menjadi target teridentifikasi, infrastruktur terkait dapat mengirimkan kode yang berpotensi digunakan untuk menjalankan eksploitasi.
Serangan dapat berlangsung tanpa interaksi pengguna apabila perangkat memiliki celah keamanan yang dapat dieksploitasi.
Karena itu, pengguna mungkin tidak menyadari bahwa perangkatnya sedang menjadi sasaran.
Sedikitnya 45 Perangkat Al Jazeera Jadi Korban
Salah satu temuan utama investigasi adalah serangan terhadap perangkat yang digunakan di lingkungan jaringan media Al Jazeera.
Menurut Citizen Lab, sedikitnya 45 perangkat menjadi sasaran infeksi spyware Candiru dalam periode 2024 hingga 2025.
Peneliti mengaitkan serangan tersebut dengan iklan yang disalurkan melalui infrastruktur Discover-Tech.
Kasus ini memperlihatkan bagaimana spyware komersial dapat digunakan untuk menargetkan organisasi media.
Jurnalis dan pekerja media termasuk kelompok yang memiliki risiko tinggi karena dapat menyimpan komunikasi, dokumen, dan informasi narasumber yang sensitif.
Namun, angka 45 perangkat tersebut merujuk pada kasus yang berhasil diidentifikasi dalam investigasi, bukan jumlah keseluruhan korban di dunia.
Jaringan Iklan Menjangkau Ribuan Situs dan Aplikasi
Skala operasi periklanan Discover-Tech juga menjadi perhatian para peneliti.
Citizen Lab menemukan bahwa iklan terkait perusahaan tersebut ditampilkan di lebih dari 120 ribu situs web dan sekitar 75 ribu aplikasi Android serta iOS.
Temuan tersebut berasal dari analisis data penawaran dan penayangan iklan.
Jangkauan yang luas menunjukkan bahwa sistem periklanan dapat digunakan untuk mengumpulkan informasi perangkat dalam skala besar.
Namun, jumlah situs dan aplikasi tersebut tidak berarti semuanya terinfeksi spyware.
Peneliti membedakan antara penayangan iklan, pelacakan perangkat, dan infeksi spyware yang benar-benar terkonfirmasi.
Pembedaan ini penting agar pengguna tidak menganggap setiap iklan yang muncul sebagai serangan peretasan.
Peneliti Sebut Sistem Iklan Menjadi Ancaman Keamanan
Peneliti senior Citizen Lab, Wolfie Christl, memperingatkan bahwa cara kerja industri periklanan digital saat ini dapat menimbulkan risiko keamanan yang serius.
“The way online advertising works today is a systemic security threat,” kata Christl kepada Reuters pada 15 Oktober 2026.
Pernyataan tersebut menyoroti bagaimana informasi pengguna yang dikumpulkan untuk kepentingan iklan dapat disalahgunakan oleh pihak tertentu.
Data yang awalnya digunakan untuk menampilkan iklan relevan berpotensi membantu pelaku mengidentifikasi dan melacak individu.
Dalam kasus yang lebih serius, data tersebut dapat digunakan untuk menentukan perangkat yang akan diserang.
Karena itu, persoalan ini tidak hanya menyangkut keamanan ponsel, tetapi juga perlindungan privasi pengguna internet.
Google dan Perusahaan Iklan Ambil Tindakan
Setelah menerima temuan investigasi, sejumlah perusahaan periklanan mengambil langkah terhadap Discover-Tech.
Citizen Lab melaporkan bahwa Google menghentikan akses Discover-Tech ke platform pertukaran iklannya.
Asosiasi industri periklanan IAB Europe juga menghapus perusahaan tersebut dari daftar vendor terkait.
Sementara itu, Beeswax, Eskimi, dan Vungle mengambil tindakan pembatasan terhadap akses atau akun yang berkaitan dengan operasi tersebut.
Langkah-langkah itu bertujuan mengurangi penyalahgunaan jaringan periklanan untuk aktivitas pengintaian.
Namun, tindakan terhadap satu jaringan tidak otomatis menghilangkan seluruh risiko spyware zero-click.
Peneliti mengingatkan bahwa penyalahgunaan teknologi periklanan dapat melibatkan lebih banyak pihak yang belum teridentifikasi.
Apakah Semua Pengguna Android dan iPhone Terancam?
Secara teknis, sistem iklan digital dapat menjangkau berbagai jenis perangkat, termasuk Android, iPhone, dan komputer.
Namun, kemampuan memasang spyware bergantung pada sejumlah faktor.
Faktor tersebut meliputi jenis perangkat, versi sistem operasi, celah keamanan yang tersedia, serta kemampuan eksploitasi yang dimiliki penyerang.
Karena itu, tidak tepat menyimpulkan bahwa seluruh ponsel otomatis dapat diretas hanya karena menampilkan iklan.
Investigasi Citizen Lab membuktikan adanya metode serangan nyata terhadap perangkat tertentu.
Temuan tersebut tetap menjadi peringatan penting bagi pengguna dan pengelola platform digital untuk meningkatkan perlindungan keamanan.
Cara Melindungi Ponsel dari Spyware Zero-Click
Meskipun serangan zero-click sulit dikenali, pengguna dapat melakukan sejumlah langkah untuk mengurangi risiko.
1. Perbarui sistem operasi secara rutin
Pembaruan Android, iOS, dan aplikasi dapat menutup celah keamanan yang diketahui.
Karena itu, pengguna disarankan memasang pembaruan resmi sesegera mungkin.
2. Batasi pelacakan iklan
Pengguna dapat meninjau pengaturan privasi perangkat dan membatasi pelacakan iklan lintas aplikasi.
Langkah ini dapat mengurangi sebagian informasi yang digunakan untuk mengenali perangkat.
Namun, pembatasan pelacakan iklan tidak menjamin perlindungan penuh dari spyware.
3. Gunakan aplikasi dan peramban terpercaya
Instal aplikasi melalui sumber resmi dan hindari perangkat lunak yang tidak jelas asal-usulnya.
Gunakan peramban yang masih mendapatkan pembaruan keamanan.
4. Pertimbangkan pemblokir iklan
Pemblokir iklan yang tepercaya dapat mengurangi paparan terhadap sebagian konten iklan berbahaya.
Namun, efektivitasnya bergantung pada perangkat, aplikasi, dan metode serangan.
5. Aktifkan perlindungan tambahan
Pengguna berisiko tinggi, seperti jurnalis dan aktivis, dapat mempertimbangkan fitur keamanan tambahan yang tersedia pada perangkatnya.
Contohnya adalah Lockdown Mode pada perangkat Apple yang mendukung fitur tersebut.
Perlindungan ini dirancang untuk mengurangi permukaan serangan, meskipun tidak memberikan jaminan keamanan mutlak.
Ancaman Spyware Jadi Tantangan Industri Digital
Kasus AdFection memperlihatkan bahwa keamanan internet tidak hanya bergantung pada kewaspadaan pengguna.
Perusahaan teknologi, penyedia iklan, dan pengembang aplikasi juga memiliki tanggung jawab dalam melindungi sistem mereka.
Pengawasan terhadap vendor periklanan, pembatasan akses data, dan pemeriksaan kode iklan menjadi bagian penting dalam mencegah penyalahgunaan.
Selain itu, transparansi mengenai penggunaan data pengguna perlu diperkuat.
Investigasi Citizen Lab menunjukkan bahwa sistem yang dirancang untuk kepentingan pemasaran dapat berubah menjadi sarana pengawasan apabila tidak diawasi secara memadai.
Kesimpulan
Spyware zero-click lewat iklan digital menjadi perhatian setelah Citizen Lab dan Confiant mengungkap teknik AdFection pada Oktober 2026.
Investigasi tersebut menemukan bahwa jaringan periklanan dapat dimanfaatkan untuk mengenali target dan mengirimkan spyware tanpa membutuhkan klik dari korban.
Sedikitnya 45 perangkat di lingkungan Al Jazeera dikaitkan dengan serangan spyware Candiru.
Sejumlah perusahaan teknologi telah mengambil tindakan terhadap Discover-Tech setelah temuan tersebut dipublikasikan.
Bagi pengguna, pembaruan perangkat, pengaturan privasi, dan penggunaan perlindungan keamanan tambahan tetap menjadi langkah penting untuk mengurangi risiko.
Kasus ini juga menjadi pengingat bahwa perlindungan keamanan digital memerlukan tanggung jawab bersama antara pengguna, perusahaan teknologi, dan penyedia layanan periklanan.
