Yıllar boyunca telefona casus yazılım bulaşmasına karşı standart savunma basit bir kurala dayanıyordu: bağlantıya tıklama, uygulamayı kurma. Wired'a göre daha yeni bir saldırı sınıfı insanı denklemin tamamen dışına çıkarıyor — casus yazılım mobil reklam tedarik zinciri üzerinden geliyor ve cihaza tıklama, kurulum uyarısı ve görünür hiçbir işaret olmadan ulaşıyor.
Mekanik, olayı bir 'kabus senaryosu' haline getiren şey. Reklam üzerinden dağıtımda kötü amaçlı kod, bir reklam ağının hedefin telefonundaki bir uygulamaya ya da tarayıcıya yerleştirdiği bir reklam materyalinin içinde geliyor. Modern reklam birimleri kodu bir WebView içinde çalıştırdığı için — mobil uygulamaların gömülü tarayıcı bileşeni — hazırlanmış bir materyal, mağdurun hiçbir şeye dokunmasına gerek kalmadan doğrudan işleme motorunu sömürmeyi deneyebiliyor. Reklamı çekme işini telefon yapıyor; saldırıyı yapma işini reklam yapıyor.
Reklam pazarının iki özelliği tekniği cazip kılıyor. Hassas hedefleme: reklam platformları belirli bir materyali belirli bir kitleye göstermek üzere kuruludur; bu da kitleye yönelik bir boru hattını tek bir cihaza yönelik dağıtım aracına dönüştürür. Opaklık: tek bir gösterim yarım düzine aracı, broker ve borsadan geçebilir; bu yüzden yükü kimin enjekte ettiğini izlemek son derece zordur.
Pratik tavsiyeler değişmiyor ama uygulaması zorlaşıyor. iOS ve Android'i güncel tutun — sömürülebilir açıklar tarayıcılarda ve WebView motorlarında. İçerik engelleyicilerle reklam yüzeyini olabildiğince daraltın. Yüksek risk altındaki kişiler — gazeteciler, aktivistler, muhalifler — Apple'ın Lockdown Mode'u ya da Android'in Advanced Protection'ı gibi sertleştirilmiş modları açsın; bunlar bu tür saldırıların dayandığı karmaşık, kendini güncelleyen bileşenleri bilinçli olarak devre dışı bırakır.
Burada önemli olan, ölçek kadar vektörün kendisi: reklamcılık artık çoğu insanın sahip olduğu en kişisel bilgisayarında makul bir bulaşma kanalı — ve sektörün teşvikleri, hız, otomasyon ve materyallerin asgari denetimi, hızlı bir düzeltmenin önünde duruyor.
