Спор о том, насколько оправданно Apple вычищает ID-инфраструктуру из Safari, получил неожиданный контекст: исследователи Citizen Lab и Confiant подтвердили атаку шпионского ПО zero-click, доставленного через таргетированную рекламу. Жертвами слежки стали сотрудники Al Jazeera, а инструментами — технологии израильских Discover-Tech и Candiru. Реклама показывалась на более чем 120 000 сайтов и 70 000 приложений.
Кейс бьёт по главному аргументу индустрии против блокировок Apple: мол, пользователей хотя бы спрашивали через ATT, а блок-лист WebKit работает без участия человека. Но Discover-Tech шесть лет числилась в Global Vendor List IAB Europe. За это время сотни миллионов европейцев нажали «согласен» в баннерах, разрешая компании обрабатывать данные. Как отмечают в Citizen Lab, вендорские списки «в значительной степени основаны на самодекларации». Google и IAB Europe отреагировали только после публикации расследования, а не до.
Один из авторов отчёта, старший исследователь Citizen Lab Вулфи Кристл, заявил Forbes: Сложно, если не сказать почти невозможно, постоянно защищать себя от вредоносной рекламы. Блокировку рекламы теперь следует рассматривать как лучшую практику кибербезопасности
.
Позиция Apple, напомним, жёсткая: WebKit блокирует запросы к adtech-доменам, занимающимся кросс-сайтовым трекингом, а в посте WebKit все они названы «инфраструктурой разрешения идентичности». Компания не публикует список заблокированных доменов и не даёт механизма обжалования — и это как раз та часть претензий, которую AdExchanger считает обоснованной. Как минимум в одном задокументированном случае Google допустили к торгам за инвентарь на iOS, а The Trade Desk — нет.
Но если смотреть на ситуацию глазами Apple, логика просматривается. Главный бизнес-приоритет компании — устройства, которые покупают в том числе из-за заявленной приверженности безопасности. Возможность найти одного человека на 120 000 сайтов и 70 000 приложений Apple рассматривает как вопрос безопасности, а не как бизнес-модель веба. И кейс Discover-Tech показывает, что эта оптика не лишена оснований.
Для издателей, чья first-party стратегия завязана на сторонние ID-резолверы, давление усиливается. Apple обещает не трогать собственные данные медиавладельцев и согласие, которое они собирают сами. Но перенос ID-инфраструктуры на сервер издателя — не универсальный выход: политика Apple допускает «дополнительные ограничения без предварительного уведомления» за попытки обхода её защит.
Потери уже измеримы: по данным Aditude, ставки на iOS упали на 14%, на Mac — до 25%. Вопрос, который остаётся без ответа, — где Apple проведёт следующую границу и кто из ID-вендоров окажется за ней.