IAB Europe, casus yazılım iddiasındaki Volasim'e lisans vererek şaşırttı

Citizen Lab'ın hedefli reklamlar aracılığıyla yayılan casus yazılımlarla ilgili raporunun ardından kriz çıktı. 

IAB Europe, Citizen Lab araştırmacılarının casus yazılımlarla olası bağlantılar konusunda endişelerini dile getirmesinin ardından, bir reklam teknolojisi sağlayıcısını onaylı listesinden çıkarmayı başaramadı.

Bir Citizen Lab araştırmacısı, araştırmacıların daha önce listede yer alan ve reklamlar aracılığıyla casus yazılım dağıtımını kolaylaştırmakla suçladıkları başka bir şirketle olası bağlantılar konusunda endişelerini dile getirmelerine rağmen, IAB Europe'un Volasim'i yaygın olarak kullanılan reklam sağlayıcıları listesinden çıkarmadığını söyledi.

Volasim, casus yazılımla ilgili faaliyetlere karışmadığını reddediyor. Citizen Lab, şirketin bilerek casus yazılım dağıtımına katıldığına dair kesin bir kanıtı olmadığını söyledi.

Gazetecileri hedef alan casus yazılım

15 Ekim'de, dijital haklar ve siber güvenlik araştırma kuruluşu, medya kuruluşu Al Jazeera'deki en az 45 cihazın Discover-Tech adlı bir sağlayıcı aracılığıyla yayınlanan reklamlar yoluyla paralı casus yazılımlarla hedef alındığını ortaya koyan teknik bir rapor yayınladı. 

Rapor ayrıca, Discover-Tech reklamlarının AB kurumları ve NATO ağlarını kullanan cihazlarda gösterildiğini de tespit etti. Ancak bir reklamın görünmesi, bir kullanıcının hedef alındığı veya casus yazılımla enfekte edildiği anlamına gelmiyordu.

Citizen Lab'ın bulgularının ardından hem Google hem de IAB Europe, Discover-Tech'i onaylı reklam satıcıları listelerinden çıkardı. Google ayrıca şirketin reklam değişim platformuna erişimini askıya aldı.

Ancak Citizen Lab'ın raporu, Discover-Tech ve Volasim arasında birden fazla bağlantıyı da vurguladı. Buna rağmen, 8 Ekim'de Discover-Tech'i Küresel Satıcı Listesi'nden (GVL) çıkaran bir IAB Europe güncellemesi, aynı gün Volasim'i listeye ekledi.

Avrupa dijital reklamcılık sektörü birliği, web kullanıcılarının reklam hedeflemesiyle ilgili gizlilik tercihlerini iletmek için endüstri standardı onay çerçevesini kullanmak üzere kayıtlı satıcıların listesini işletiyor.

IAB Europe, Citizen Lab'ın raporu kamuoyuna açıklanmadan önce Volasim ve Discover-Tech arasındaki iddia edilen bağlantılardan haberdar edilmemişti. Ancak yayınlandıktan sonra ve bu yazının yazıldığı sırada Volasim, GVL'de yer almaya devam ediyor.

Citizen Lab'da kıdemli araştırmacı olan Wolfie Christl, IAB Europe'un devam eden eylemsizliğini eleştirdi. "Bu, mutlak bir özensizlik ve sorumluluk eksikliğini gösteriyor," dedi.

Citizen Lab'e göre, Volasim casus yazılımla ilgili herhangi bir faaliyete karışmadığını reddetti ve araştırmacılarına "hiçbir zaman böyle bir faaliyeti görevlendirmediğini, yetkilendirmediğini, katılmadığını veya bilerek kolaylaştırmadığını" söyledi ve Discover-Tech ile algılanan bağlantıları sıradan reklam faaliyetlerine bağladı.

Citizen Lab'in raporu, Volasim'in casus yazılım saldırılarının gerçekleştirilmesinde bilerek yer aldığına dair kesin bir kanıt bulamadığını belirtiyor.

Dijital reklam eşik bekçisi

IAB Europe tarafından onay taleplerini standartlaştırmak için geliştirilen Şeffaflık ve Onay Çerçevesi (TCF) adlı bir reklam çerçevesi, GVL satıcı veritabanından yararlanıyor ve gönüllü olmasına rağmen, reklam teknolojisi ekosisteminde yaygın olarak kullanılıyor. 

Yayıncılar ve reklam hedefleme firmaları, web kullanıcılarının kişisel verilerini reklam şirketleriyle paylaşma (veya paylaşmama) tercihlerini toplamak ve yönetmek için TCF'yi kullanıyor.

IAB Europe, TCF'yi Genel Veri Koruma Yönetmeliği (GDPR) de dahil olmak üzere AB gizlilik yasalarına uyum aracı olarak sunuyor ve listelenen satıcıların meşru ve güvenilir olduğunu ima ediyor.

Citizen Lab'ın raporu, Discover-Tech'in sektör kayıt defterinde listelenmesinin şirketin reklam ekosistemine katılmasına ve kullanıcıların cihazlarına ulaşmasına yardımcı olduğunu savunuyor ve IAB Europe'u bunu ayıklamakta başarısız olmakla eleştiriyor.

Christl, verdiği demeçte, "IAB Europe, Avrupa'da dijital reklamcılığın kolaylaştırıcısı ve bekçisi olarak hizmet vermeye uygun değil" dedi.

Reklam teknolojisi ekosisteminin "sistemik bir güvenlik tehdidi" olduğunu belirten Christl, siber güvenlik kurumlarını, düzenleyicileri ve yasama organlarını "kötü amaçlı reklam hedeflemesini mümkün kılan sistemik riskleri araştırmak ve düzeltmek" için uyardı.

IAB Europe ve Volasim'den yorum yok

2022 yılında, Belçika Veri Koruma Kurumu (DPA), IAB Europe'un TCF'yi işletme biçiminde birden fazla GDPR ihlali tespit ederek şirketin 250.000 € para cezası ödemesini engellemişti. 

Temyize başvurdu ve DPA'nın kararı daha sonra usulsüzlük gerekçesiyle iptal edildi, ancak para cezası ve bazı yükümlülükler onaylandı.

Rapporteur