星链用户被追踪与投毒广告

导语：TrendAI 在广告竞价遥测中发现，一个代号 SHADOW-EARTH-79 的主体是 105 个国家 Starlink 流量的第一大广告买方，展示份额 12.9%，而全网基准只有 2.6%。路透社随后确认，这个代号背后是 Discover-Tech——今年 10 月被 Citizen Lab 曝光通过广告向半岛电视台记者投递零点击间谍软件的那家公司。

追踪走的不是卫星链路，是广告竞价

Starlink 用户接入的是一条点对点的卫星链路，流量从上空直落终端，中间不经过可供审查的地面设施。伊朗去年的反政府抗议中，这项服务被大量使用。

这次被曝光的路径同样绕开了地面监管，只不过换成了广告竞价。在全球广告交易体系里，每一次曝光都会把设备标识、地理位置和连接类型实时分发给所有参与的买方。不需要攻破卫星链路本身，就能拿到用户的位置和身份轮廓。

10 月 15 日，Citizen Lab 与 TrendAI 前后脚发布两份报告，指向同一家以色列广告公司 Discover-Tech。

Citizen Lab 那份是技术确认。Discover-Tech 采购的广告位，脚本标签加载后数秒内就与 Candiru 间谍软件的验证服务器通信，完成静默植入。研究者通过网络日志重建了这条链路，确认 2024 至 2025 年间至少 45 台半岛电视台的设备被感染。这是零点击雇佣间谍软件经由定向广告投递的首次公开技术证实。

TrendAI 那份是数据分析。2026 年 3 月到 6 月约 40 亿条竞价记录显示，Discover-Tech 提交约 37.7 亿次竞价，赢得约 4.42 亿次拍卖，广告出现在 75,373 款 App 和 120,768 个网站上。这期间该公司花费约 10.9 万美元，没有任何转化记录。这不是一门生意。

Starlink 流量上的异常份额

同期报告给出了一个内部代号 SHADOW-EARTH-79 的主体。第一次把它与 Discover-Tech 联系起来的是路透社：上周二该媒体援引六名知情人士称两者为同一实体，广告很可能用于定位或以其他方式监控 Starlink 用户。TrendAI 在 10 月 15 日的首份报告中曾考虑点名，因管理层提出法律顾虑而作罢。

数据本身反常。SHADOW-EARTH-79 在 Starlink 流量样本中拿下约 12.9% 的展示广告，全网基准是 2.6%，超配近五倍，在所有高投放量买方中抬升最高。

国别分布更集中。阿根廷 91.3%、菲律宾 89.1%、日本 82.6% 的观测胜出率来自同一家买方。在叙利亚、利比亚、也门和南苏丹，它是第一中标方，阿富汗第二。TrendAI 在报告中的措辞是：这些国家”对合法西方广告的需求实际上为零”。同类情况还出现在匈牙利、以色列、埃及、阿塞拜疆和委内瑞拉。

研究者的结论是以中高置信度给出的：这些竞价模式符合”目标定位与追踪基础设施，而非商业广告运营”。

Starlink 在多个国家被限制或禁止，用户往往处在卫星连接本身就是政治敏感行为的环境里。这套广告追踪体系因此在常规互联网触达不到的人群上取得了很高的可见度。