Звичайна реклама в інтернеті може стати інструментом для викрадення паролів, стеження за користувачами та зараження пристроїв шпигунським програмним забезпеченням. Дослідники кібербезпеки виявили, що в окремих випадках зловмисникам навіть не потрібно змушувати людину натискати на оголошення, достатньо лише його появи на екрані.
Фахівці Citizen Lab при Університеті Торонто розкрили кампанію AdFection, у межах якої ізраїльська компанія Discover-Tech, за висновками дослідників, допомагала операторам шпигунського ПЗ поширювати шкідливий код через рекламні мережі. У 2024–2025 роках атаки були спрямовані щонайменше на 45 пристроїв співробітників телеканалу Al Jazeera, а дослідники підтвердили зараження шпигунським програмним забезпеченням, пов’язаним із компанією Candiru.
Проаналізувавши майже 4 мільярди записів рекламних аукціонів, фахівці встановили, що лише за чотири місяці 2026 року оголошення Discover-Tech з’являлися на понад 120 тисячах вебсайтів і в 70 тисячах мобільних застосунків. Водночас сама поява такої реклами не означала автоматичного зараження кожного користувача, однак продемонструвала, наскільки масштабно зловмисники можуть використовувати звичайну рекламну інфраструктуру.
Для більшості користувачів найбільшу небезпеку становить не дороге шпигунське ПЗ, яке зазвичай застосовують проти журналістів і політиків, а шахрайські оголошення, що маскуються під рекламу відомих компаній. Зловмисники оплачують розміщення таких матеріалів над звичайними результатами пошуку, видаючи себе за банки, розробників програмного забезпечення та інші популярні сервіси.
У квітні 2025 року ФБР попередило про шахраїв, які створювали підроблені сайти для управління зарплатними рахунками співробітників. Перехід за рекламним посиланням приводив користувачів на фішингову копію справжнього сервісу. Після введення облікових даних зловмисники могли викрасти особисту інформацію та перенаправити зарплатні виплати на власні рахунки.
Інший поширений метод полягає в рекламі підроблених програм і фальшивих оновлень браузера, через які користувачів змушують самостійно встановлювати шкідливе ПЗ. Масштаб проблеми підтверджує звіт Google: протягом 2025 року компанія заблокувала або видалила 8,3 мільярда оголошень за порушення рекламних правил, серед яких 602 мільйони були пов’язані з шахрайством. Також було призупинено 24,9 мільйона рекламних акаунтів.
Водночас ці цифри охоплюють різні порушення, а не лише рекламу зі шкідливим кодом. За даними Google, понад 99% оголошень, що порушували правила, вдалося зупинити ще до того, як їх побачили користувачі.
Небезпека онлайн-реклами не обмежується зараженням пристроїв. Рекламні мережі також збирають інформацію про обладнання, історію переглядів і місцеперебування користувачів. Британський Офіс уповноваженого з питань інформації (ICO) наголошує, що відстеження людей для персоналізованої реклами потребує їхньої згоди, а обсяги зібраних даних нерідко є надмірними.
У жовтні 2026 року Норвегія оштрафувала рекламну компанію Xandr, що належить Microsoft, на 92 мільйони крон. Причиною стало поширення конфіденційних даних користувачів Grindr серед тисяч рекламодавців у 2018–2020 роках, ще до придбання компанії Microsoft.
Попри ризики, більшість рекламних оголошень залишаються безпечними, а реклама допомагає фінансувати безкоштовні онлайн-сервіси. Після публікації дослідження Citizen Lab Google та кілька інших рекламних компаній припинили співпрацю з Discover-Tech. Однак між появою шкідливої реклами та її блокуванням залишається проміжок часу, протягом якого користувачі можуть постраждати.
Фахівці радять відкривати сайти компаній безпосередньо, а не через рекламні результати пошуку, регулярно оновлювати браузери й операційні системи та розглянути використання блокувальників реклами. Навіть звичайне оголошення може приховувати загрозу, яку користувач не здатен розпізнати на перший погляд.
