Ancaman keamanan siber kini mencapai level baru yang mengkhawatirkan. Laporan terbaru dari Citizen Lab mengungkap keberadaan spyware bernama AdFection yang mampu menginfeksi perangkat tanpa memerlukan interaksi pengguna sama sekali. Pengguna tidak perlu mengeklik tautan atau mengunduh file berbahaya; cukup dengan memuat iklan yang terinfeksi pada situs web atau aplikasi, perangkat korban dapat langsung disusupi oleh kode berbahaya tersebut.
Teknologi ini dikembangkan oleh perusahaan asal Israel, Discover-Tech, yang menyamar sebagai firma periklanan sah. Dalam praktiknya, mereka bertindak sebagai jembatan antara vendor iklan global dengan ekosistem spyware. Peneliti senior Citizen Lab, Bill Marczak, menegaskan bahwa ini adalah konfirmasi pertama mengenai penggunaan ekosistem iklan daring sebagai platform pengiriman spyware dengan metode zero-click.
Operasi ini memanfaatkan sistem lelang iklan real-time yang lazim digunakan oleh platform periklanan global. Melalui sistem otomatis ini, Discover-Tech memprofilkan dan mengidentifikasi target spesifik sebelum mengirimkan iklan yang telah disisipi kode berbahaya. Dengan cara ini, mereka mampu menjangkau target strategis mulai dari jurnalis, staf organisasi internasional seperti NATO dan Komisi Eropa, hingga karyawan perusahaan teknologi global seperti NVIDIA dan Arm.
Skala penyebaran spyware ini sangat masif. Data menunjukkan bahwa Discover-Tech telah menayangkan sekitar 442 juta iklan di lebih dari 120.000 situs web dan aplikasi populer. Nama-nama besar seperti BBC dan New York Times, hingga aplikasi gaya hidup seperti Duolingo, Badoo, dan Grindr, tercatat pernah menjadi media perantara penyebaran iklan tersebut. Hal ini menciptakan risiko keamanan yang luas bagi individu di berbagai sektor, termasuk militer dan lembaga pemerintah.
Google, yang platform iklannya turut disalahgunakan oleh pihak ini, telah mengambil tindakan tegas dengan memblokir Discover-Tech dari daftar vendor global mereka. Langkah ini diambil setelah investigasi bersama antara Google, Citizen Lab, dan Confiant membuktikan adanya pelanggaran sistematis terhadap kebijakan platform. Meskipun demikian, temuan ini baru dianggap sebagai puncak gunung es dari praktik mata-mata komersial yang memanfaatkan infrastruktur iklan digital.
Bagi publik Indonesia, fenomena ini menjadi alarm keras mengenai keamanan data di dunia maya. Pengguna internet di Indonesia, yang sangat bergantung pada aplikasi gratisan berbasis iklan, memiliki risiko terpapar yang sama besarnya. Seringkali, kita mengabaikan izin akses aplikasi atau tidak peduli dengan iklan yang muncul, padahal di balik layar, sistem iklan tersebut bisa menjadi pintu masuk bagi aktor jahat untuk mengambil alih kendali perangkat.
Berbeda dengan serangan malware tradisional yang mengandalkan kelalaian pengguna, metode zero-click ini secara teknis jauh lebih sulit dideteksi oleh rata-rata pengguna. Dalam konteks Indonesia, di mana literasi keamanan digital masih perlu ditingkatkan, ancaman ini menuntut kewaspadaan ekstra. Penggunaan fitur pemblokir iklan (ad-blocker) dan mematikan pelacakan iklan pada pengaturan perangkat kini menjadi langkah mitigasi yang paling krusial.
Bill Marczak dalam catatannya menekankan bahwa jika seseorang merasa menjadi target potensial karena profesi atau perannya, mematikan pelacakan iklan adalah prosedur standar yang harus segera dilakukan. Langkah preventif ini setidaknya dapat memutus rantai profilisasi yang dilakukan oleh aktor-aktor seperti Discover-Tech. Tanpa data profil yang akurat, sulit bagi mereka untuk menyasar target secara presisi melalui iklan.
Kasus ini juga menyoroti keterkaitan antara pembuat spyware komersial dengan ekosistem iklan. Peneliti menemukan jejak log masuk di situs Discover-Tech yang berkaitan dengan karyawan Candiru, perusahaan spyware lain yang juga dikenal kontroversial. Keterkaitan ini mengindikasikan adanya jaringan yang lebih luas dan terorganisir dalam industri mata-mata digital yang beroperasi di balik kedok perusahaan teknologi legal.
Ke depannya, industri periklanan digital dipastikan akan menghadapi tekanan regulasi yang lebih ketat terkait transparansi pengiriman iklan. Platform besar seperti Google, Meta, dan penyedia layanan iklan lainnya dituntut untuk melakukan audit lebih mendalam terhadap vendor yang tergabung dalam jaringan mereka. Tanpa pengawasan yang ketat, celah keamanan ini akan terus dieksploitasi oleh aktor-aktor yang ingin membungkam suara kritis atau mencuri informasi sensitif.
Sebagai pengguna, langkah paling efektif saat ini adalah menerapkan prinsip kehati-hatian dalam mengunduh aplikasi. Hindari aplikasi yang meminta izin akses yang tidak relevan dengan fungsinya. Selain itu, penggunaan VPN atau layanan DNS yang menawarkan perlindungan dari situs berbahaya dapat membantu memfilter iklan-iklan yang mencurigakan sebelum mencapai perangkat kita.
Pada akhirnya, perang melawan spyware zero-click adalah perlombaan teknologi yang terus berlanjut. Sementara pengembang spyware terus mencari celah baru, pihak keamanan siber dan pengelola platform harus terus memperbarui sistem pertahanan mereka. Bagi masyarakat umum, menjaga kebersihan digital dengan membatasi pelacakan adalah pertahanan pertama yang paling masuk akal dalam menghadapi ancaman yang tidak terlihat ini.