AdFection: Spyware Zero-Click Disalurkan Lewat Iklan Targeted

The Citizen Lab merilis laporan AdFection pada 15 Oktober 2026, dan laporan itu menyebut dirinya sebagai konfirmasi publik pertama spyware komersial zero-click yang dikirim lewat jaringan iklan bertarget. Tekniknya dinamai AdFection, dan menurut laporan yang sama, ia dipakai untuk menginfeksi perangkat di Al Jazeera dengan spyware milik Candiru. Laporan tersebut juga mengungkap keberadaan sebuah perusahaan bernama Discover-Tech yang membantu vendor pengawasan komersial melacak dan membobol perangkat di berbagai negara.

TL;DR

• Citizen Lab menyebut laporannya sebagai konfirmasi publik pertama spyware komersial zero-click yang disalurkan lewat iklan bertarget, dengan teknik yang dinamai AdFection.
• Menurut laporan itu, teknik ini dipakai untuk menginfeksi perangkat di Al Jazeera dengan spyware milik Candiru.
• Laporan yang sama mengungkap Discover-Tech, perusahaan yang menurut temuan Citizen Lab membantu vendor pengawasan melacak dan membobol perangkat di berbagai negara.
• Kata zero-click berarti tidak ada interaksi korban yang dibutuhkan, sehingga nasihat lama seperti jangan klik tautan asing tidak lagi menjadi pertahanan utama.
• Laporan penuhnya dipublikasikan 15 Oktober 2026 dengan estimasi waktu baca sekitar 121 menit, dan tersedia terbuka di situs Citizen Lab.

Apa Itu AdFection?

AdFection adalah nama yang diberikan Citizen Lab untuk teknik mengirim spyware komersial lewat jaringan iklan bertarget, bukan lewat tautan atau lampiran yang harus dibuka korban. Intinya, infrastruktur iklan yang dipakai jutaan aplikasi dan situs setiap hari dipakai sebagai jalur distribusi, sehingga korban tidak perlu melakukan apa pun untuk terkena.

Yang membuat temuan ini penting bukan kerumitan teknisnya, melainkan jalur distribusinya. Selama ini ancaman spyware komersial dipahami sebagai serangan yang disesuaikan per target, sering lewat tautan yang dikirim ke orang tertentu. Kalau jalurnya bergeser ke jaringan iklan, maka permukaan serangannya bukan lagi satu orang, melainkan seluruh sistem periklanan digital yang menyisipkan konten ke dalam aplikasi dan halaman web.

Citizen Lab menempatkan temuan ini sebagai konfirmasi publik pertama untuk kategori tersebut. Artinya, sebelum laporan ini, mekanisme itu diduga ada, tapi belum pernah didokumentasikan terbuka dengan bukti teknis yang bisa diperiksa pihak lain. Laporan penuhnya dirilis 15 Oktober 2026 dan tersedia untuk umum, dengan estimasi waktu baca sekitar 121 menit menurut metadata halaman laporannya.

Dari sudut pandang teknis, ada satu pergeseran yang layak dicatat. Selama bertahun-tahun, saran keamanan untuk pengguna biasa bertumpu pada kewaspadaan: periksa pengirim, jangan buka lampiran aneh, curigai tautan pendek. Kalau jalur serangannya adalah konten otomatis yang dimuat aplikasi, maka kewaspadaan itu tidak lagi berada di jalur kritis, karena tidak ada keputusan pengguna yang perlu diambil penyerang.

Itu sebabnya laporan ini lebih relevan bagi pengguna Indonesia daripada kelihatannya. Sebagian besar perangkat di sini memuat konten iklan dari jaringan global yang sama, dan aplikasi sehari-hari seperti media sosial, marketplace, serta aplikasi pesan semuanya menyertakan komponen periklanan. Artinya, jalur distribusi yang disorot laporan ini bukan jalur yang hanya ada di negara tertentu.

Bagaimana Spyware Bisa Masuk Tanpa Klik Pengguna?

Zero-click berarti eksploitasi berjalan tanpa aksi dari korban, biasanya dengan memanfaatkan celah pada perangkat lunak yang memproses data masuk secara otomatis. Pada kasus AdFection, menurut Citizen Lab, jalur masuknya adalah iklan bertarget, sehingga yang memproses data itu adalah komponen periklanan yang berjalan di latar belakang perangkat.

Perbedaan mendasar dengan serangan berbasis klik ada di titik keputusan. Pada serangan berbasis tautan, korban punya satu momen untuk memutuskan, dan kesalahan keputusan di situ yang menentukan hasilnya. Pada serangan zero-click, tidak ada momen itu, sehingga pertahanan harus bergeser dari kewaspadaan manusia ke pengerasan perangkat dan pembatasan jalur data yang masuk.

Aspek	Serangan berbasis klik	Serangan zero-click seperti AdFection
Interaksi korban	Perlu membuka tautan atau berkas	Tidak perlu interaksi apa pun
Titik masuk	Pesan, email, atau tautan yang dikirim langsung	Jalur konten otomatis seperti jaringan iklan
Peluang deteksi oleh korban	Ada momen mencurigakan sebelum eksekusi	Nyaris tidak ada, karena tidak ada aksi yang dilakukan
Pertahanan yang relevan	Kewaspadaan pengguna dan filter tautan	Patch cepat, pengerasan platform, pembatasan pelacakan
Skala target	Bisa disesuaikan per orang	Berpotensi lebih luas karena memakai infrastruktur iklan

Siapa yang Terdampak dan Apa Peran Discover-Tech?

Menurut laporan Citizen Lab, teknik ini dipakai untuk menginfeksi perangkat di Al Jazeera dengan spyware milik Candiru. Selain itu, laporan mengungkap Discover-Tech, sebuah perusahaan yang menurut temuan Citizen Lab membantu vendor pengawasan komersial melacak dan membobol perangkat di seluruh dunia. Jumlah korban di luar kasus yang disebut itu belum ada data publiknya.

Peran perantara seperti Discover-Tech penting dipahami. Vendor spyware biasanya menjual kemampuan teknis, sementara operator yang memakainya butuh jalur distribusi dan cara menargetkan. Kalau ada perusahaan yang menyediakan kedua hal itu sebagai layanan, rantai pasoknya menjadi lebih panjang, dan setiap mata rantai menambah pihak yang harus diaudit ketika terjadi penyalahgunaan.

Untuk organisasi media dan aktivis, implikasinya langsung. Model ancaman mereka selama ini berasumsi bahwa serangan datang lewat komunikasi yang bisa diperiksa. Kalau jalurnya berpindah ke infrastruktur iklan yang berjalan otomatis di perangkat, maka audit keamanan tidak lagi cukup memeriksa tautan dan lampiran, tapi juga harus mempertimbangkan apa saja yang diproses perangkat di latar belakang.

Apa yang Bisa Dilakukan Pengguna untuk Mengurangi Risiko?

Langkah paling berdampak adalah mempercepat patch pada tingkat sistem operasi dan aplikasi, karena serangan zero-click bergantung pada celah yang belum ditambal. Selain itu, membatasi pelacakan iklan di perangkat mengurangi jumlah jalur data otomatis yang berjalan, meski tidak bisa menghilangkan risikonya sepenuhnya.

Untuk perangkat yang menangani data sensitif, praktik yang lazim dipakai organisasi berisiko tinggi adalah memisahkan perangkat dan profesi: satu perangkat untuk komunikasi sensitif dengan aplikasi seminimal mungkin, dan perangkat terpisah untuk aktivitas umum. Pendekatan ini mengurangi permukaan serangan, meski biayanya adalah kenyamanan.

Dari sisi platform, dokumentasi keamanan Android menjelaskan lapisan pengerasan yang tersedia di sistem operasi, mulai dari sandbox aplikasi sampai pembaruan keamanan bulanan. Untuk memantau celah yang benar-benar dieksploitasi di lapangan, katalog Known Exploited Vulnerabilities milik CISA berguna sebagai rujukan karena isinya celah yang sudah terbukti dipakai penyerang, bukan sekadar daftar kerentanan teoretis.

Satu hal yang sering terlewat, pembaruan keamanan hanya berguna kalau benar-benar dipasang. Untuk perangkat yang dipakai menangani komunikasi sensitif, menunda patch beberapa minggu sama dengan memberi jendela waktu yang cukup bagi celah yang sudah diketahui publik untuk dipakai. Karena itu, kebiasaan sederhana seperti mengaktifkan pembaruan otomatis punya dampak yang lebih besar daripada yang biasanya dianggap.

Apakah Ini Berarti Semua Iklan Berbahaya?

Tidak, dan menyimpulkan begitu justru melewatkan inti temuannya. Yang disorot Citizen Lab adalah penyalahgunaan jaringan distribusi iklan oleh pihak tertentu, bukan pernyataan bahwa seluruh ekosistem iklan dirancang untuk menyebarkan spyware. Perbedaannya penting karena menentukan respons yang masuk akal: audit dan pengawasan pada rantai pasok, bukan mematikan semua jalur distribusi konten.

Meski begitu, temuan ini memperkuat satu argumen lama di dunia keamanan: setiap komponen yang berjalan otomatis di perangkat adalah bagian dari permukaan serangan, termasuk komponen yang tujuannya menjual ruang iklan. Selama komponen itu bisa memuat dan mengeksekusi konten dari pihak ketiga, ia harus diperlakukan dengan standar keamanan yang sama seriusnya dengan fitur lain, bukan sebagai pelengkap yang tidak perlu diaudit.

Apa Implikasinya untuk Pengembang Aplikasi?

Bagi pengembang yang menyertakan SDK periklanan pihak ketiga, temuan ini menyentuh keputusan yang biasanya dianggap administratif. Setiap SDK yang di-embed menambah kode yang berjalan di dalam proses aplikasi, dan kode itu memuat serta memproses konten dari jaringan luar. Pertanyaan yang perlu diajukan bukan hanya seberapa besar pendapatannya, tapi juga siapa yang mengendalikan konten yang dimuat dan seberapa cepat SDK itu diperbarui ketika ada masalah keamanan.

Praktik yang masuk akal ada tiga. Pertama, catat versi setiap SDK iklan yang dipakai beserta tanggal pembaruannya, karena versi yang tertinggal lama adalah risiko yang bisa diukur. Kedua, batasi izin yang diberikan ke komponen iklan seminimal mungkin, terutama akses ke data yang tidak dibutuhkan untuk menampilkan iklan. Ketiga, pisahkan proses atau sandbox untuk komponen pihak ketiga kalau platformnya memungkinkan, sehingga dampak sebuah celah tidak langsung menyentuh seluruh aplikasi.

Untuk aplikasi yang menangani data sensitif, pertimbangan tambahan adalah apakah SDK iklan perlu ada sama sekali. Ini keputusan produk, bukan keputusan teknis murni, tapi keputusan itu sebaiknya diambil dengan sadar bahwa setiap komponen tambahan adalah tambahan permukaan serangan yang harus dipelihara.

Untuk tim yang mengelola aplikasi dengan banyak pengguna, ada satu pertanyaan uji yang berguna: kalau salah satu SDK iklan yang dipakai ternyata berbahaya hari ini, berapa lama waktu yang dibutuhkan untuk mengetahui dan mencabutnya dari build? Kalau jawabannya tidak jelas, itu tanda inventaris komponen pihak ketiga belum memadai, dan inventaris adalah prasyarat dari hampir semua respons insiden yang cepat.

FAQ

Apa arti zero-click dalam konteks laporan ini?

Zero-click berarti korban tidak perlu melakukan aksi apa pun agar eksploitasi berjalan, misalnya membuka tautan atau berkas. Pada kasus AdFection, menurut Citizen Lab, jalur masuknya adalah iklan bertarget, sehingga yang memproses data adalah komponen periklanan di perangkat.

Apakah laporan ini menyebut jumlah korban secara spesifik?

Laporan menyebut kasus perangkat di Al Jazeera yang diinfeksi dengan spyware Candiru. Jumlah korban secara keseluruhan di luar kasus tersebut belum ada data publiknya, dan angka yang tidak bersumber sebaiknya tidak dipakai sebagai dasar keputusan.

Siapa itu Discover-Tech dan kenapa disebut dalam laporan?

Discover-Tech disebut sebagai perusahaan yang menurut temuan Citizen Lab membantu vendor pengawasan komersial melacak dan membobol perangkat di berbagai negara. Peran semacam ini membuat rantai pasok spyware lebih panjang dan menambah pihak yang perlu diaudit.

Apakah pengguna Android atau iOS biasa perlu khawatir?

Risikonya bergantung pada profil target. Spyware komersial umumnya menargetkan individu atau organisasi tertentu, bukan pengguna acak. Meski begitu, mempercepat patch dan membatasi pelacakan iklan tetap langkah yang masuk akal untuk semua orang.

Di mana laporan lengkapnya bisa dibaca?

Di situs Citizen Lab, dengan judul Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware. Laporan itu dipublikasikan 15 Oktober 2026 dengan estimasi waktu baca sekitar 121 menit.