Starlink用户被广告竞价追踪：间谍软件公司成105国最大广告买方

TrendAI 在广告竞价遥测中发现，一个代号 SHADOW-EARTH-79 的主体，是 105 个国家 Starlink 流量的第一大广告买方，展示份额达到 12.9%，而全网基准只有 2.6%。路透社随后确认，这个代号背后是 Discover-Tech——正是今年 10 月被 Citizen Lab 曝光通过广告向半岛电视台记者投递零点击间谍软件的那家公司。这类供应链追踪案例，在云栈社区上也常被拿出来复盘。

追踪走的不是卫星链路，是广告竞价

Starlink 用户接入的是一条点对点的卫星链路，流量从上空直落终端，中间不经过可供审查的地面设施。伊朗去年的反政府抗议中，这项服务被大量使用。

这次被曝光的路径同样绕开了地面监管，只不过换成了广告竞价。在全球广告交易体系里，每一次曝光都会把设备标识、地理位置和连接类型实时分发给所有参与的买方。不需要攻破卫星链路本身，就能拿到用户的位置和身份轮廓。

10 月 15 日，Citizen Lab 与 TrendAI 前后脚发布两份报告，指向同一家以色列广告公司 Discover-Tech。

Citizen Lab 那份是技术确认。Discover-Tech 采购的广告位，脚本标签加载后数秒内就与 Candiru 间谍软件的验证服务器通信，完成静默植入。研究者通过网络日志重建了这条链路，确认 2024 至 2025 年间至少 45 台半岛电视台的设备被感染。这是零点击雇佣间谍软件经由定向广告投递的首次公开技术证实。

TrendAI 那份是数据分析。2026 年 3 月到 6 月约 40 亿条竞价记录显示，Discover-Tech 提交约 37.7 亿次竞价，赢得约 4.42 亿次拍卖，广告出现在 75,373 款 App 和 120,768 个网站上。这期间该公司花费约 10.9 万美元，没有任何转化记录。这不是一门生意。

Starlink 流量上的异常份额

同期报告给出了一个内部代号 SHADOW-EARTH-79 的主体。第一次把它与 Discover-Tech 联系起来的是路透社：上周二该媒体援引六名知情人士称两者为同一实体，广告很可能用于定位或以其他方式监控 Starlink 用户。TrendAI 在 10 月 15 日的首份报告中曾考虑点名，因管理层提出法律顾虑而作罢。

数据本身反常。SHADOW-EARTH-79 在 Starlink 流量样本中拿下约 12.9% 的展示广告，全网基准是 2.6%，超配近五倍，在所有高投放量买方中抬升最高。

国别分布更集中。阿根廷 91.3%、菲律宾 89.1%、日本 82.6% 的观测胜出率来自同一家买方。在叙利亚、利比亚、也门和南苏丹，它是第一中标方，阿富汗第二。TrendAI 在报告中的措辞是：这些国家"对合法西方广告的需求实际上为零"。同类情况还出现在匈牙利、以色列、埃及、阿塞拜疆和委内瑞拉。

研究者的结论是以中高置信度给出的：这些竞价模式符合"目标定位与追踪基础设施，而非商业广告运营"。

Starlink 在多个国家被限制或禁止，用户往往处在卫星连接本身就是政治敏感行为的环境里。这套广告追踪体系因此在常规互联网触达不到的人群上取得了很高的可见度。

合规后果

Discover-Tech 以合法广告公司的身份运营，自 2020 年起保持 Google 和 IAB Europe 的认证供应商身份，直到本月被除名。

Google 已终止其在整个广告生态的投放权限，并告知 Citizen Lab 已阻止该公司竞价或展示广告。IAB Europe 于 10 月 8 日将其从全球供应商名录移除。

这些广告触达的网络包括 NATO、欧洲议会、美国国防部、国际原子能机构和国际刑事法院。Candiru 本身已于 2021 年被美国商务部工业与安全局列入实体清单，理由是向记者、活动人士和政府官员提供监控技术。

给中小企业的三条提示

广告供应链已经是间谍软件投递和目标定位的成熟通道。以前它以"谁来买我的流量位"的形式存在，现在需要按"谁在买我的受众"来审。合同条款通常不覆盖这一层风险。

涉俄、涉伊、涉非市场的合规红线要重新划。在这些地区，投放行为本身可能就是合规风险，而供应商尽职调查失效往往发生在合同之外。

卫星接入正在成为新的暴露面。BYOD 和远程办公场景应把"连接方式"登记进资产与数据流图。这条链路上的流量，恰恰是地面基础设施最容易漏掉的。

尚未确认的部分

研究者未公开证实 Starlink 设备实际被感染。目前能确认的是：曾用于投递 Candiru 的同一套广告基础设施，是 100 多个国家 Starlink 用户所看到广告的主要来源。实际感染规模和最终目标人群仍是未知数。

来源：Gizmodo、路透社、Citizen Lab、TrendAI、Confiant；传播源 X @Dinosn（Nicolas Krassas）。