Adform遭黑客入侵：为什么你现在就该用广告拦截器

Adform遭黑客入侵：事件概述

近日，在线广告技术巨头 Adform 遭遇黑客入侵，这一事件再次将互联网广告生态的安全隐患推向了公众视野。Adform成立于2002年，总部位于丹麦哥本哈根，是欧洲最大的独立广告技术平台之一。该公司提供包括需求方平台（DSP）、数据管理平台（DMP）和广告服务器在内的全栈广告技术解决方案，服务范围覆盖全球超过30个市场。

Adform的全栈广告技术方案在行业中具有独特性。其DSP（需求方平台）允许广告主通过算法自动购买广告位；DMP（数据管理平台）负责整合第一方、第二方和第三方数据构建用户画像；广告服务器则负责广告创意的存储、投放和效果追踪。这三者的紧密集成意味着数据在系统内部高速流转，一旦任何一个模块被攻破，攻击者可能获得横向移动的能力，进而访问整个数据链路。

Adform所处的广告技术（AdTech）行业是一个年收入超过5000亿美元的全球性产业。该行业的竞争格局呈现明显的双寡头特征——Google和Meta合计占据全球数字广告市场约50%的份额，而Adform等独立广告技术公司则在剩余市场中争夺份额。与Google、Meta等既做广告又做内容的巨头不同，Adform定位为独立的第三方技术提供商，这使其在数据中立性方面具有特殊地位。独立平台的价值主张在于避免利益冲突：Google既运营广告交易所又拥有YouTube等内容平台，这种"既当裁判又当球员"的模式长期受到反垄断审查。Adform作为独立第三方，理论上能提供更公正的竞价环境和数据处理服务——但这也意味着它需要与大量外部数据源对接，无形中增加了系统的攻击面。作为全球规模庞大的广告技术平台之一，Adform 每天处理海量的用户数据和广告投放请求，其被攻破的后果不容小觑。

这起事件在 Hacker News 社区引发了热烈讨论，众多技术从业者借此重申了一个关键观点：广告拦截器不仅仅是提升浏览体验的工具，更是保护用户隐私与安全的重要防线。

广告技术平台为何成为黑客攻击目标

海量数据集中存储带来的风险

像 Adform 这样的广告技术公司，本质上是一个巨大的数据枢纽。它们通过遍布互联网的广告代码追踪用户的浏览行为、地理位置、设备信息乃至消费偏好。这些数据一旦被集中存储，就成为黑客眼中价值极高的目标。

广告技术生态中的数据共享依赖一种称为"Cookie同步"（Cookie Syncing）的机制。由于浏览器的同源策略限制不同域名间直接读取Cookie，广告技术公司通过像素标签（tracking pixel）触发一系列HTTP重定向，在重定向过程中各方将自己的用户ID附加到URL参数中交换。一次页面加载可能触发数十次Cookie同步请求。

Cookie同步的安全风险远比表面看起来更为严重。在技术实现层面，每次同步本质上是一次明文的用户ID交换——这些ID通过URL参数在HTTP重定向链中传递，在没有端到端加密的情况下，中间人攻击者可以截获这些同步请求并建立自己的用户映射表。更值得关注的是"Cookie同步瀑布"现象：当A公司与B公司同步、B公司又与C公司同步时，A公司的用户ID实际上间接暴露给了C公司，即使A与C之间从未建立直接的数据共享关系。研究表明，排名前1000的网站平均每页触发超过80次Cookie同步调用，而用户对此完全无感知。GDPR实施后，这种机制的合法性受到严重质疑，因为用户几乎不可能对如此复杂的数据共享链路给予真正知情的同意。

除了Cookie同步外，广告技术公司还广泛使用浏览器指纹识别（Browser Fingerprinting）技术来追踪用户。这种技术通过收集浏览器类型、屏幕分辨率、已安装字体、WebGL渲染特征、Canvas API输出等数十个参数，生成每个浏览器近乎唯一的标识符。与Cookie不同，浏览器指纹无法被用户清除，且在隐私模式下仍然有效。研究表明，综合使用这些参数可以在94%以上的情况下唯一识别一个浏览器实例。这意味着即使用户清除Cookie或使用隐私模式，广告技术公司仍可能持续追踪其行为——而这些指纹数据同样存储在广告平台的服务器中，一旦平台被攻破，攻击者就能获取更加难以撤销的用户身份标识。

这意味着用户的身份标识被分散存储在数十个独立系统中，每一个系统都是潜在的数据泄露点。即使某一家公司的安全做得再好，只要同步链条中任何一环被攻破，整个用户画像都可能被还原。

当一家广告巨头被攻破，意味着攻击者可能一次性获取数百万甚至数十亿用户的行为画像。这种"一次入侵，全面收割"的特性，使得广告技术平台成为网络攻击的高价值靶标。

广告投放链路的脆弱性与恶意广告威胁

现代在线广告依赖复杂的实时竞价（RTB）和程序化投放系统。实时竞价（Real-Time Bidding）是程序化广告的核心机制：当用户打开一个网页时，页面上的广告位信息会在约100毫秒内通过供应方平台（SSP）发送到广告交易所，广告交易所再将竞价请求广播给数十个需求方平台（DSP），各DSP根据用户的Cookie数据、浏览历史和人群标签进行实时出价。整个过程涉及的中间环节包括发布商、SSP、广告交易所、DSP、数据管理平台、广告验证服务商等，每一层都可能接触用户数据，也都可能成为攻击入口。据估计，一次单独的广告展示请求可能经过6-10个独立系统的处理。

RTB系统的技术复杂度远超表面所见。在100毫秒的竞价窗口内，DSP需要完成用户身份识别（Cookie同步或设备图谱匹配）、从DMP调取用户画像、运行机器学习模型预估广告点击率和转化率、计算出价金额并返回竞价响应。全球顶级DSP每秒处理超过1000万次竞价请求，峰值QPS可达数百万级别。这种高并发、低延迟的架构要求决定了系统往往优先考虑性能而非安全纵深，许多安全检查被视为"不可承受的延迟成本"而被简化或省略。

RTB系统还存在一个根本性的隐私悖论：为了实现精准定向，系统必须在竞价请求中携带足够多的用户信息；但这些信息一旦广播给所有参与竞价的DSP，就失去了控制。即使竞价失败的DSP也已获得了用户数据。这种"数据广播"模式被比利时和英国数据保护机构认定为违反GDPR，IAB Europe的透明与同意框架（TCF）在2022年被比利时DPA裁定不合规，但技术改进进展缓慢。

从协议层面看，OpenRTB协议（由IAB Tech Lab维护的行业标准）定义了竞价请求和响应的数据格式，其中包含大量用户信息字段：设备类型、操作系统版本、IP地址（通常截断最后一段）、GPS坐标（精度可达小数点后六位）、以及用户兴趣分类代码。这些信息在每次竞价中被广播给所有参与的DSP——包括那些最终未赢得竞价的参与者。这意味着即便广告未被展示，用户数据已经被多方获取。IAB在2022年推出了OpenRTB 2.6规范试图加入更多隐私保护机制，但向后兼容需求使得旧版本仍在广泛使用。

一个网页上的广告位，可能在毫秒之间经过多个中间商的转手。这条冗长的投放链路中，任何一个环节被攻破，都可能被利用来分发恶意代码。

所谓的"恶意广告"（Malvertising）攻击，正是利用了这一漏洞——黑客通过合法的广告投放渠道，将恶意脚本注入到用户访问的正规网站中，用户甚至无需点击广告就可能中招。这类攻击的危险之处在于其利用了用户对知名网站的信任。历史上，2016年包括纽约时报、BBC和MSN在内的多个主流网站曾因广告网络被入侵而向用户分发勒索软件；2019年，广告平台eGobbler利用Chrome浏览器漏洞劫持了超过5亿次广告展示。

恶意广告之所以持续存在，背后有清晰的经济逻辑。程序化广告的准入门槛极低——攻击者只需注册一个DSP账户、设置合理的CPM出价（每千次展示成本通常在0.5-3美元之间），就能将恶意创意投放到主流网站上。广告审核系统虽然会进行内容检查，但攻击者使用"cloaking"技术——对审核系统展示正常内容，而对真实用户展示恶意内容。一次成功的恶意广告攻击活动投入可能仅需数千美元，但通过勒索软件或凭证窃取获得的收益可达数百万。Confiant和GeoEdge等广告安全公司的报告显示，2023年约1/100的广告展示包含某种形式的安全或质量问题。

恶意广告攻击技术在过去十年间经历了显著演进。早期攻击主要依赖Flash插件漏洞，随着Flash退出历史舞台，攻击者转向利用JavaScript混淆技术和浏览器零日漏洞。现代恶意广告采用多层规避策略：首先通过浏览器指纹识别确认目标不是安全研究人员的沙箱环境；然后利用合法广告创意中嵌入的隐写术（steganography）将恶意载荷隐藏在图片像素中；最后通过多次重定向（通常经过3-5个域名跳转）才到达最终的漏洞利用页面。这种级联式的规避机制使传统的广告审核流程极难检测。攻击方式还涵盖驱动下载（drive-by download）、利用WebRTC等浏览器API进行信息窃取等多种手段。

Adform事件还凸显了广告技术领域的供应链攻击风险。与传统软件供应链攻击（如2020年SolarWinds事件中攻击者通过篡改软件更新包渗透到18000个组织）类似，广告生态中的供应链攻击利用的是信任传递机制：发布商信任SSP，SSP信任广告交易所，广告交易所信任DSP，DSP信任广告主。当这条信任链中的任何节点被攻破，恶意代码就能借助合法的业务流程传播到终端用户。更危险的是，广告供应链攻击可以大规模水平扩展——单个被攻破的广告平台可能同时影响成千上万个网站的访客，这正是Adform事件令人担忧的根本原因。

广告拦截器的安全防护价值

从体验工具升级为安全屏障

很多人对广告拦截器的认知，还停留在"去除烦人广告"的层面。然而在安全专家眼中，广告拦截器实际上切断了恶意广告的传播路径。

当浏览器阻止加载第三方广告脚本时，也就同时阻断了以下潜在威胁：

• 恶意代码注入：通过广告链路分发的挖矿脚本、勒索软件等
• 数据泄露风险：广告商追踪代码收集的个人信息
• 钓鱼与欺诈：伪装成正常广告的诈骗内容
• 浏览器指纹采集：广告脚本中嵌入的指纹识别代码，用于构建无法清除的用户身份标识
• 加密货币挖矿：利用用户CPU算力进行未经授权的加密货币挖掘

换句话说，即便广告平台自身被攻破，使用广告拦截器的用户也能在很大程度上免受波及。

隐私保护的现实意义

Adform 事件再次证明，用户将隐私数据托付给广告技术公司，本质上是一种被动且高风险的信任。这些数据的安全性完全取决于企业的防护能力，而一旦防线失守，用户往往毫不知情，也无从补救。

从法律层面看，虽然GDPR、CCPA等隐私法规赋予了用户"被遗忘权"和数据可携带权，但这些权利在数据已经泄露后几乎毫无意义——被窃取的数据不可能从黑客手中"撤回"。更何况，广告技术公司收集的行为数据往往以匿名化或假名化（pseudonymized）的形式处理，用户甚至不知道自己有哪些数据存储在哪些公司，更遑论行使删除权。

广告拦截器则提供了一种主动防御的选择——从源头减少数据被收集的机会，降低个人信息暴露在各类第三方系统中的风险。

技术社区对Adform事件的多元解读

在 Hacker News 的讨论中，技术社区对这一事件的解读呈现出多个层面：

一部分开发者强调，广告拦截器应当成为普通用户的"默认配置"，尤其是在恶意广告频发的环境下。也有观点指出，问题的根源在于整个广告技术产业过度依赖用户追踪的商业模式，只要这种模式不改变，类似的安全事件就会不断重演。

还有讨论者提到内容创作者的困境——广告收入是许多网站的生存基础，广告拦截器的普及在保护用户的同时，也冲击着依赖广告变现的内容生态。这种"隐私安全"与"内容可持续"之间的张力，至今没有理想的解决方案。围绕这一困境，业界已提出多种替代模型：Brave浏览器的BAT（Basic Attention Token）系统允许用户选择性观看广告并获得加密货币奖励；苹果的App Tracking Transparency框架通过系统级弹窗让用户控制跨应用追踪；W3C的Privacy Sandbox项目（包括Topics API）试图在不暴露个人数据的前提下实现兴趣定向广告。此外，订阅制、微支付、以及基于上下文而非行为定向的广告模式也在逐步获得关注，但截至目前，没有任何单一方案能完全替代基于追踪的精准广告在收入效率上的优势。

值得注意的是，上下文广告（Contextual Advertising）正在经历技术复兴。与行为定向广告通过追踪用户历史行为来投放广告不同，上下文广告通过分析当前页面的内容来匹配相关广告——例如在一篇烹饪文章旁展示厨具广告。随着自然语言处理和大语言模型技术的进步，上下文广告的理解精度大幅提升，一些研究表明其效果与行为定向广告的差距正在缩小。这种模式的隐私优势在于它完全不需要追踪用户行为或存储用户画像，从根本上消除了数据泄露的风险。

普通用户如何防范恶意广告：实用建议

部署可靠的广告拦截工具

对于关注隐私和安全的用户，建议使用经过社区验证的开源广告拦截工具，如 uBlock Origin。uBlock Origin由Raymond Hill开发并维护，采用高效的静态网络过滤引擎，其内存占用和CPU消耗远低于Adblock Plus等竞品。它的工作原理是在浏览器发出网络请求之前，通过匹配过滤规则列表（如EasyList、EasyPrivacy、Peter Lowe's Ad server list等）来决定是否阻止该请求。除了基本的URL模式匹配，uBlock Origin还支持cosmetic filtering（隐藏页面元素）和scriptlet injection（注入脚本来对抗反广告拦截机制）。其开源特性意味着任何人都可以审计代码，确保工具本身不会成为隐私威胁——这与某些曾被发现出售用户数据的闭源广告拦截器形成了鲜明对比。

值得注意的是，uBlock Origin正面临来自浏览器平台层面的挑战。Google Chrome正在推行的Manifest V3扩展规范将webRequest API（允许扩展程序在请求发送前拦截和修改）替换为declarativeNetRequest API，后者限制了动态过滤规则的数量和灵活性。这一变更被广泛认为会削弱广告拦截器的能力。Manifest V3争议的核心在于浏览器厂商、广告行业和用户权益之间的权力博弈：webRequest API允许扩展程序同步拦截网络请求，赋予了广告拦截器近乎完美的过滤能力；而declarativeNetRequest API要求扩展程序预先声明静态规则集，且动态规则数量上限远少于uBlock Origin常用的30万+条过滤规则。Google声称此变更是出于性能和安全考虑——恶意扩展确实曾利用webRequest API窃取用户数据——但批评者指出，Google作为全球最大的数字广告公司，有明显的利益动机来削弱广告拦截器。EFF（电子前哨基金会）和多个隐私组织已公开反对这一变更。Raymond Hill因此开发了uBlock Origin Lite版本以适配新规范，但功能有所缩减。Firefox目前仍支持完整的Manifest V2，这也是安全社区推荐Firefox作为隐私浏览器的重要原因之一。

相比闭源方案，开源工具的过滤规则透明，且不太可能"白名单"某些广告商牟利。

采用多层防护策略

现代广告拦截防护可以构建为一个多层纵深防御体系，这与企业安全中的纵深防御（Defense in Depth）理念一脉相承。每一层都能捕获前一层遗漏的威胁，多层协同大幅提高了整体防护的可靠性。

除了浏览器插件，还可以在 DNS 层面部署拦截方案（如 Pi-hole 或 NextDNS），实现全设备范围的广告与追踪拦截。Pi-hole是一个基于Linux的网络级广告拦截方案，它作为本地DNS服务器运行，通过维护广告和追踪域名的黑名单来阻止设备解析这些域名。当设备尝试连接已知的广告服务器时，Pi-hole会返回空地址，从而在网络层面彻底阻断连接。NextDNS则是类似理念的云端实现，用户无需自建硬件。

这种DNS级方案的核心优势在于：它对整个网络中的所有设备生效，包括智能电视、IoT设备和移动App等无法安装浏览器插件的场景；同时它也能阻止应用程序级别的追踪SDK向远程服务器发送数据。这种网络级防护能够覆盖手机 App 等浏览器插件无法触及的场景。

不过DNS层拦截也存在局限性。随着DNS over HTTPS（DoH）和DNS over TLS（DoT）的普及，一些应用程序（如Firefox默认启用DoH）会绕过系统DNS设置直接使用自己的DNS解析器，从而规避Pi-hole的拦截。此外，一些广告技术公司开始使用CNAME伪装（CNAME Cloaking）技术——将追踪域名设置为网站主域名的子域名CNAME记录，使其在DNS层面看起来是第一方请求而非第三方追踪。具体来说，网站所有者在自己的DNS记录中创建一个子域名（如metrics.mysite.com），然后将其CNAME记录指向追踪公司的服务器。当浏览器解析该子域名时，它看起来是第一方请求，传统广告拦截器和Safari的ITP（Intelligent Tracking Prevention）都不会拦截。研究人员在2021年的测量中发现，Alexa排名前10000的网站中有近10%使用了CNAME伪装技术。Firefox的uBlock Origin可以通过浏览器提供的DNS解析API检测CNAME链并加以拦截，但Chrome的Manifest V3并未暴露此能力。应对这些新兴规避技术需要浏览器层面和DNS层面的协同防护，这也是为什么安全专家推荐多层防护而非依赖单一方案的原因。

完整的分层防护体系可总结为：第一层DNS级拦截（阻止域名解析）；第二层浏览器级拦截（过滤网络请求和隐藏元素）；第三层操作系统级防护（如iOS的App Tracking Transparency）；第四层网络出口级防护（VPN或防火墙规则）。每一层针对不同攻击向量，共同构建全面的防御网络。

保持警惕，谨慎授权

即便有工具防护，用户仍应对网站要求的各类权限和数据授权保持警惕。安全防护从来不是单一工具就能完全解决的问题，而是一套系统性的习惯。具体而言，用户应注意：定期审查浏览器已安装的扩展程序及其权限范围；对要求"读取和更改所有网站数据"权限的扩展保持高度警惕；在移动设备上限制应用的位置访问和跨应用追踪权限；使用具备隔离机制的浏览器（如Firefox的Multi-Account Containers）来分隔不同场景的浏览活动。

结语：广告拦截器是用户主动防御的有效手段

Adform 被黑事件不是孤例，而是在线广告生态系统结构性风险的又一次爆发。它提醒我们，只要用户数据被大规模集中收集，只要广告投放链路依然冗长而缺乏管控，类似的安全威胁就难以根除。

在行业模式发生根本性变革之前，广告拦截器仍将是用户手中为数不多的、能够主动掌控自身隐私与安全的有效工具。这或许正是这起事件带给我们的最直接启示。

核心要点

• 广告技术平台的结构性风险：Adform等广告技术平台集中存储海量用户数据，通过Cookie同步和浏览器指纹等机制形成复杂的数据共享网络，任何节点的失守都可能导致整个用户画像链的暴露
• 实时竞价系统的安全悖论：RTB系统在100毫秒竞价窗口内优先性能而简化安全检查，且OpenRTB协议的"数据广播"模式使用户信息在展示前就已被多方获取
• 恶意广告的经济驱动力：程序化广告的低准入门槛和cloaking技术使攻击者能以极低成本通过合法渠道分发恶意代码，投入产出比极高
• 广告拦截器的安全本质：广告拦截器不仅改善浏览体验，更从根本上切断了恶意广告传播路径和数据采集通道，是对抗供应链攻击的有效用户侧防线
• 多层纵深防御的必要性：单一防护方案面临CNAME伪装、DoH绕过等规避技术挑战，DNS层+浏览器层+系统层的协同防护才能构建可靠的安全网络
• Manifest V3对用户安全的威胁：Chrome推行的新扩展规范限制广告拦截器能力，用户应考虑使用仍支持完整过滤功能的Firefox等替代浏览器