過去談網路廣告安全，常提醒不要點擊陌生連結。最新公開研究帶來更嚴格的情境：在特定攻擊中，廣告只要於網站或 App 內顯示，就可能先收集裝置識別資料；若裝置被攻擊者選中，還可能收到利用漏洞的程式碼。這不代表每次看到廣告都會感染，但『我沒有點』也不能再當作唯一的安全判斷。
最新發現：廣告可以成為零點擊入口
加拿大多倫多大學 Citizen Lab 於 2026 年 10 月 15 日發布AdFection 調查報告，稱這是首次公開技術確認：傭兵式間諜軟件可經針對性廣告，在不需要使用者點擊的情況下投遞。研究團隊以高信心把 2024 至 2025 年間半島電視台至少 45 部裝置遭鎖定的事件，連結到 Discover-Tech 廣告基礎設施與 Candiru 間諜軟件。
報告描述的流程不是『圖片本身自動變成病毒』。網站或 App 顯示廣告時，廣告程式碼會向服務器請求內容並傳送識別資料；多數看到廣告的人不會收到後續程式碼，只有被挑選的目標才可能收到漏洞利用鏈。也就是說，廣告曝光、被建立裝置輪廓、遭鎖定和成功感染是四件不同的事。
Citizen Lab 分析約 40 億筆競價紀錄，發現相關廣告在四個月內曾出現在接近 20 萬個網站及行動 App。這說明廣告供應鏈的覆蓋範圍很廣，卻不能反過來證明每個出現過廣告的網站、App 或使用者都已遭入侵。研究報告也明確提醒，單一次廣告曝光本身不等於被鎖定或感染。
MyCERT 為何另發警示
馬來西亞電腦緊急應變團隊 MyCERT 於 2026 年 10 月 22 日發布MA-1485.102026 官方警示。MyCERT 根據公開研究及自身檢查，評估馬來西亞位於這項威脅的接觸面之內，並表示曾觀察到實際的間諜軟件轉交流程。
同一份警示也劃出重要界線：公開資料沒有確認某一部馬來西亞裝置已成功感染，也沒有證明特定馬來西亞機構或個人完成資料外洩。警示發布日是 10 月 22 日；研究涉及的部分事件發生於 2024 至 2025 年，不能把兩個日期混作同一次事故。
對本站讀者而言，重點不是猜測哪個廣告平台『一定有毒』，而是理解第三方廣告可跨越網站和 App，並利用廣告識別碼、IP 位址及裝置資料建立輪廓。即使你只瀏覽優惠或娛樂內容，也應把瀏覽器、App 內建網頁視窗和行動裝置視為同一套需要更新與管理的環境。本文沒有證據顯示 28BET、本站讀者或任何指定帳戶受到 AdFection 影響。
看到廣告後，不必恐慌但要做這四項檢查
第一，更新作業系統、瀏覽器和常用 App，完成更新後要重新啟動並核對版本。下載了更新但仍未重啟，可能仍在使用舊程序；可以配合本站的Chrome 更新與版本核對指南逐項確認。
第二，減少不必要的廣告追蹤。Citizen Lab 建議使用具反追蹤能力的瀏覽器、可信的廣告阻擋工具，並定期重設行動廣告識別碼或停用個人化廣告。這些措施能降低追蹤與廣告投遞面，但不是『安裝一個外掛就百分百安全』；外掛本身也要來自可信來源、維持更新並只取得合理權限。
第三，對高風險用途分隔裝置及工作階段。若工作涉及新聞、公共事務、金融或敏感聯絡，MyCERT 建議使用 App 清單受控的專用裝置並減少 App 內廣告。一般使用者也可以把處理密碼、電子錢包與重要帳戶的裝置，和安裝大量免費廣告型 App 的裝置分開，降低單一裝置被入侵後的影響範圍。
第四，不要把突然發熱、耗電或彈窗單獨當成感染證據。先記錄時間、正在使用的 App、系統版本及異常帳戶活動，再從其他可信裝置核對重要帳戶與交易。僅憑一個通用症狀直接重設所有裝置，可能令取證與帳戶恢復更困難。
如果真的懷疑受影響，先換一部可信裝置
MyCERT 建議疑似受影響者更新系統與瀏覽器、重設瀏覽器設定，並更改曾在該裝置輸入的登入資料，先處理銀行、電子錢包及政府服務。實際執行時，應從另一部已更新且可信的裝置改密碼、撤銷陌生工作階段、檢查復原電郵和近期交易；不要繼續使用疑似受影響裝置輸入新的密碼或一次性驗證碼。
如果屬於高風險人士，或有明確網路紀錄、陌生工作階段、未授權交易等多項證據，應尋求合資格的數碼鑑證或官方事件通報協助。Citizen Lab 指出，確認的間諜軟件感染屬整部裝置層級事件；MyCERT 亦把重建裝置列為可靠修復方向。這與一般清除瀏覽紀錄不同，不應只靠安裝另一個未知『清毒工具』處理。
一則廣告代表什麼，不代表什麼
這次調查最值得保留的判斷方式，是把證據分層：看到廣告只證明廣告曝光；服務器收到識別資料代表被建立輪廓；收到針對性程式碼才涉及攻擊投遞；還要有鑑證或可靠紀錄才能確認感染。不要因為自己看過廣告就宣稱裝置被監控，也不要因為沒有點擊就完全排除風險。
廣告生態涉及網站、App、廣告交易平台與多個中介，普通使用者無法逐一核實每次即時競價。可以控制的，是保持裝置更新、減少追蹤、限制高風險裝置的 App 與廣告接觸面，以及在異常發生後用乾淨裝置保護帳戶。這些做法不保證阻擋所有零點擊攻擊，但能縮小風險與後續損失。
本文由 AI 輔助整理，資料核對日期：2026-10-24；請以所列官方來源的最新資訊為準。