廣告競投變成追蹤器：你打開普通網站時，可能已曝露位置

從廣告版位到敏感網絡

多倫多大學公民實驗室（Citizen Lab）與廣告安全公司 Confiant 的調查指出，Discover-Tech 透過即時廣告競投系統，把追蹤用的廣告投放到大量網站與應用程式。研究人員表示，這些廣告出現在接近 200,000 個網站和手機應用程式，範圍包括 Starlink 服務被禁用的地區。廣告曝光本身不等於裝置已感染間諜軟件，但足以讓操作者觀察哪些裝置、在哪些網絡、於哪些時段載入特定廣告位。

另一間威脅情報公司 TrendAI 另行辨識出代號「SHADOW-EARTH-79」的相關活動。這個代號指向一套更持久的追蹤作業：操作者不是直接入侵裝置，而是利用廣告拍賣的出價機制，判斷某個裝置是否連接特定衛星網絡、使用特定語言設定，或處於特定時區。

為什麼普通用戶會受影響

這類手法最令人不安之處，是用戶毋須點擊廣告，甚至毋須看到廣告內容，只要頁面載入廣告框架，請求就會進入競投系統。廣告買家可以在數毫秒內收到裝置資料，包括 IP 地址、瀏覽器指紋、語言偏好、螢幕尺寸與大致地理位置。對於使用 Starlink 等衛星網絡的人，IP 區段往往可以對應到特定地面站或服務區域。

研究人員指出，Discover-Tech 曾在多個 Starlink 服務被禁的國家出價高於其他買家，以爭取與 Starlink 相關的廣告曝光。這顯示追蹤者不是隨機投放，而是有意識地競投特定網絡區段。即使廣告最後沒有顯示，競投請求本身已經完成一次資料交換。

未來幾年的私隱含義

廣告競投被用作追蹤基建，意味用戶即使關閉定位、使用無痕模式、不登入任何帳戶，仍可能因為載入一個普通新聞網站或天氣應用程式而曝露網絡位置。對記者、人道工作者、跨境通勤者與政治異見者來說，這類資料足以推斷出行模式、住宿地點與聯繫網絡。

更廣泛地看，這項發現顯示數碼廣告供應鏈的透明度問題已經超出「個人化廣告」的範圍。當廣告拍賣的資料流可以被情報式操作者利用，監管機構面對的就不再只是 cookie 同意橫幅，而是整個即時競投基礎設施的設計缺陷。用戶無法從瀏覽器設定中看到誰在競投自己的裝置資料，也無法選擇退出這類毫秒級資料交換。

對普通人而言，未來幾年的實際改變可能是：更多機構會把「載入廣告」視為等同「交出位置資料」的風險行為。企業可能開始要求員工在特定地區使用廣告攔截器或網絡過濾工具，而瀏覽器供應商或需重新設計廣告請求的資料最小化機制。短期內，用戶能做的仍然有限——因為問題不在於你是否點擊廣告，而在於廣告系統在你看到頁面之前，已經先看到了你。