پاکستان سے منسلک آن لائن اشتہارات کی 13 کروڑ 94 لاکھ سے زیادہ ایسی بولیاں ریکارڈ ہوئی ہیں جن کا تعلق جاسوسی سافٹ ویئر پہنچانے کے لیے استعمال ہونے والے ایک مشکوک اشتہاری نظام سے ہے۔ کینیڈا کی یونیورسٹی آف ٹورنٹو سے منسلک Citizen Lab کی تحقیق میں پاکستان ان بولیوں کی تعداد کے لحاظ سے دنیا میں دوسرے نمبر پر رہا۔
تاہم اس خبر میں ایک اہم فرق سمجھنا ضروری ہے۔ اشتہار دکھانے کے لیے بولی لگنے کا مطلب یہ نہیں کہ کسی شخص کا فون ہیک ہو گیا۔ Citizen Lab کی تحقیق میں پاکستان سے متعلق بڑی تعداد میں بولیاں سامنے آئیں، مگر پاکستانی فونز میں جاسوسی سافٹ ویئر کی موجودگی کی تصدیق نہیں ہوئی۔
محققین نے 15 اکتوبر 2026 کو اپنی رپورٹ Exposing AdFection جاری کی، جس میں مارچ سے جون 2026 تک کے آن لائن اشتہاری ریکارڈ کا جائزہ لیا گیا۔
رپورٹ کے مطابق پاکستان سے منسلک بولیوں کی درست تعداد 139,427,322 تھی۔ یمن 457,283,658 بولیوں کے ساتھ پہلے نمبر پر رہا، جبکہ مونٹی نیگرو 97,595,716 بولیوں کے ساتھ تیسرے نمبر پر تھا۔
Citizen Lab کی اصل تحقیق میں بتایا گیا ہے کہ اسرائیل سے تعلق رکھنے والی ایک اشتہاری ٹیکنالوجی کمپنی کے نظام کو کس طرح لوگوں کی شناخت معلوم کرنے، ان کی آن لائن سرگرمیوں کا سراغ لگانے اور بعض مخصوص آلات میں جاسوسی سافٹ ویئر پہنچانے کے لیے استعمال کیا گیا۔
تحقیق میں Al Jazeera کے آلات پر ایسے حملوں کی بھی تصدیق ہوئی جن میں متاثرہ افراد کو کسی اشتہار یا لنک پر کلک کرنے کی ضرورت نہیں تھی۔ لیکن پاکستان کا دوسرے نمبر پر آنا انہی تصدیق شدہ حملوں کی تعداد نہیں، بلکہ الگ اشتہاری ریکارڈ کا نتیجہ ہے۔
یہ معاملہ پاکستانی صارفین کے لیے اہم سوال پیدا کرتا ہے: اگر کسی عام ویب سائٹ یا ایپ پر اشتہار نظر آئے تو کیا اس کے ذریعے بھی نگرانی یا ہیکنگ ممکن ہے، اور محققین کے پاس اس کا کتنا ثبوت ہے؟
پاکستان دنیا میں دوسرے نمبر پر کیسے آیا؟
آج کل زیادہ تر ویب سائٹس اور موبائل ایپس پر اشتہارات دکھانے کے لیے خودکار نظام استعمال ہوتے ہیں۔ مختلف اشتہاری کمپنیاں چند لمحوں میں بولی لگاتی ہیں تاکہ کسی صارف کو اپنا اشتہار دکھا سکیں۔
Citizen Lab نے Discover-Tech نامی کمپنی کے MyDSP اشتہاری پلیٹ فارم سے متعلق ریکارڈ کی جانچ کی۔ اس نظام کے ذریعے ویب سائٹس اور موبائل ایپس میں اشتہار کی جگہ خریدنے کے لیے بولیاں لگائی جاتی تھیں۔
محققین نے مارچ سے جون 2026 کے دوران لگائی گئی مجموعی طور پر 3,770,286,576 بولیوں کا جائزہ لیا۔ یہ تقریباً تین ارب 77 کروڑ بولیاں بنتی ہیں۔
اس ریکارڈ میں کم از کم 718,748,885 بولیاں ایسے اشتہارات سے متعلق تھیں جن میں بظاہر ایک ایسے سرور سے رابطہ کرنے والا کوڈ موجود تھا جسے محققین نے جاسوسی سے منسلک نظام کا حصہ قرار دیا۔
ان اشتہارات کو پہچاننے کے لیے محققین نے ریکارڈ میں موجود مختلف تکنیکی نشانات اور اشتہارات کے ناموں کا جائزہ لیا۔ تاہم ان کا یہ طریقہ ہر بولی کے نتیجے میں جاسوسی سافٹ ویئر نصب ہونے کا ثبوت نہیں تھا۔
متعلقہ بولیوں میں 161 ممالک سے منسلک انٹرنیٹ IP ایڈریس سامنے آئے۔
رپورٹ کی Table 4 میں یمن 45 کروڑ 72 لاکھ سے زیادہ بولیوں کے ساتھ پہلے نمبر پر ہے۔ پاکستان 13 کروڑ 94 لاکھ سے زیادہ بولیوں کے ساتھ دوسرے، جبکہ مونٹی نیگرو 9 کروڑ 75 لاکھ سے زیادہ بولیوں کے ساتھ تیسرے نمبر پر رہا۔
برازیل چوتھے اور میکسیکو پانچویں نمبر پر تھے۔
لیکن یہ ترتیب ہر ملک کی آبادی کے حساب سے نہیں بنائی گئی۔ یہ صرف مجموعی بولیوں کی تعداد کا موازنہ ہے۔
Citizen Lab نے آبادی کے تناسب سے الگ حساب بھی کیا۔ اس میں مونٹی نیگرو پہلے، یمن دوسرے اور آرمینیا تیسرے نمبر پر آیا، جبکہ پاکستان پہلے دس ممالک میں شامل نہیں تھا۔
اسی لیے پاکستان کی دوسری پوزیشن کو یہ کہنا درست نہیں ہوگا کہ ہر پاکستانی کو دنیا میں دوسرے نمبر پر سب سے زیادہ جاسوسی حملے کا خطرہ تھا۔
کیا 13 کروڑ 94 لاکھ پاکستانیوں کے فون ہیک ہوئے؟
نہیں۔ 139,427,322 کا عدد اشتہاری بولیوں کی تعداد ہے، الگ الگ پاکستانی افراد یا ہیک ہونے والے موبائل فونز کی تعداد نہیں۔
فرض کریں کوئی شخص اپنے موبائل پر خبریں پڑھنے کے لیے ایک ویب سائٹ کھولتا ہے۔ وہاں اشتہار دکھانے کی ایک جگہ موجود ہے۔ مختلف کمپنیاں اس جگہ پر اپنا اشتہار چلانے کے لیے بولی لگا سکتی ہیں۔
اگر کوئی کمپنی بولی لگاتی ہے تو اس کا مطلب صرف یہ ہے کہ اس نے اشتہار دکھانے کا موقع خریدنے کی کوشش کی۔ ضروری نہیں کہ اس کی بولی کامیاب ہو۔
اگر بولی جیت جائے اور اشتہار نظر آ جائے تو اسے ad impression کہا جاتا ہے، یعنی اشتہار کے واقعی دکھائے جانے کا ریکارڈ۔
ایک ہی شخص روزانہ کئی ویب سائٹس اور ایپس استعمال کر سکتا ہے۔ اس کے فون کے لیے بار بار اشتہاری بولیاں لگ سکتی ہیں اور اسے ایک ہی یا مختلف اشتہارات کئی مرتبہ دکھائے جا سکتے ہیں۔
اس کے بعد بھی مزید فرق موجود ہے۔ کسی صارف کے بارے میں معلومات جمع کرنا، اس کے فون پر حملہ کرنے کی کوشش کرنا اور فون میں جاسوسی سافٹ ویئر کا کامیابی سے داخل ہو جانا تین الگ باتیں ہیں۔
فون ہیک ہونے کی تصدیق کے لیے اس کے تکنیکی ریکارڈ، مشکوک رابطوں یا دوسرے قابلِ اعتماد شواہد کی جانچ ضروری ہوتی ہے۔
Citizen Lab نے پاکستان سے منسلک بولیوں کی تعداد بتائی، لیکن یہ ثابت نہیں کیا کہ اتنے ہی پاکستانیوں کے فون ہیک ہوئے یا اتنے افراد کو جاسوسی کے لیے چنا گیا۔
اس تحقیق میں پاکستان کے لیے تصدیق شدہ متاثرہ فونز کی تعداد معلوم نہیں ہو سکی۔ اس کا یہ مطلب بھی نہیں کہ کوئی انفیکشن ناممکن تھا، بلکہ یہ کہ شائع شدہ تحقیق میں اس کی تصدیق نہیں ہوئی۔
تحقیق میں پاکستانی صارفین کی جگہ کا حساب کیسے لگایا گیا؟
Citizen Lab نے انٹرنیٹ کے IP ایڈریس اور ان سے متعلق مقام کی معلومات استعمال کیں تاکہ یہ اندازہ لگایا جا سکے کہ بولیاں کن ممالک سے منسلک تھیں۔
IP ایڈریس کسی انٹرنیٹ کنکشن کی پہچان میں مدد دیتا ہے، لیکن اس سے ہر بار کسی شخص کا درست مقام معلوم نہیں ہو سکتا۔
مثال کے طور پر VPN استعمال کرنے پر کوئی شخص پاکستان میں بیٹھا ہو، لیکن اس کا انٹرنیٹ کنکشن کسی دوسرے ملک کا نظر آ سکتا ہے۔ سیٹلائٹ انٹرنیٹ، بعض سرورز اور دوسرے نیٹ ورک انتظامات بھی مقام کے حساب میں فرق پیدا کر سکتے ہیں۔
Citizen Lab نے خود اس حد کی نشاندہی کی ہے۔
محققین کے دستیاب اشتہاری ریکارڈ میں موبائل اشتہاری شناختی نمبر، کوکی شناختی نمبر یا GPS سے حاصل ہونے والے ایسے ریکارڈ نہیں تھے جن سے الگ الگ پاکستانی افراد کی درست تعداد معلوم کی جا سکتی۔
اس لیے 13 کروڑ 94 لاکھ سے زیادہ بولیاں ایک اہم تحقیقاتی عدد ہے، لیکن اسے اتنے ہی لوگوں کی تعداد یا ہیکنگ کے خطرے کا براہِ راست پیمانہ نہیں سمجھا جا سکتا۔
یہ عدد اس سرگرمی کو ظاہر کرتا ہے جسے موجودہ ڈیٹا نے پاکستان کے ساتھ منسلک کیا تھا۔
عام آن لائن اشتہار سے بغیر کلک کیے فون کیسے ہیک ہو سکتا ہے؟
زیادہ تر صارفین سمجھتے ہیں کہ فون ہیک ہونے کے لیے کسی مشکوک لنک پر کلک کرنا یا نقصان دہ فائل ڈاؤن لوڈ کرنا ضروری ہے۔ لیکن کچھ جدید جاسوسی حملے اس کے بغیر بھی ہو سکتے ہیں۔
Citizen Lab کی تحقیق میں ایسے طریقے کو AdFection کا نام دیا گیا ہے۔
عام اشتہار صرف تصویر یا ویڈیو نہیں ہوتا۔ اس کے اندر ایسا تکنیکی کوڈ بھی ہو سکتا ہے جو اشتہار لوڈ کرنے، اس کے نتائج جانچنے یا کسی بیرونی سرور سے رابطہ کرنے کے لیے استعمال ہوتا ہے۔
محققین کے مطابق Discover-Tech کے متعلقہ اشتہارات کا کوڈ صارف کے فون یا براؤزر سے ایک مخصوص سرور پر رابطہ کر سکتا تھا۔
اس رابطے سے فون یا براؤزر کے بارے میں کچھ معلومات حاصل کی جا سکتی تھیں۔ ان معلومات کی مدد سے سسٹم کسی صارف یا آلے کو دوبارہ پہچاننے کی کوشش کر سکتا تھا۔
اگر کسی جاسوسی کارروائی میں کسی خاص فون کو نشانہ بنایا گیا ہو تو سرور اس آلے کو اضافی نقصان دہ کوڈ بھیج سکتا تھا۔ یہ کوڈ فون یا براؤزر میں موجود سکیورٹی کمزوری کا فائدہ اٹھانے کی کوشش کرتا تھا۔
ایسے حملے کو zero-click attack کہتے ہیں، یعنی صارف کو خود اشتہار، پیغام یا لنک دبانے کی ضرورت نہیں ہوتی۔
کبھی ایسا اشتہار اسکرین پر نظر آ سکتا ہے اور کبھی ایپ کے اندر پس منظر میں بھی لوڈ ہو سکتا ہے۔
لیکن ہر مرتبہ متعلقہ اشتہار دکھائے جانے کا مطلب یہ نہیں کہ فون پر حملہ ہوا یا جاسوسی سافٹ ویئر نصب ہو گیا۔
Citizen Lab کے مطابق بہت سے صارفین کے لیے سرور کوئی مزید نقصان دہ کوڈ واپس نہیں بھیجتا تھا، جبکہ خاص طور پر منتخب آلات کو نشانہ بنایا جا سکتا تھا۔
Citizen Lab کے تحقیقی خلاصے میں بھی بڑی تعداد میں صارفین کی معلومات سے سراغ لگانے اور مخصوص فونز پر جاسوسی حملہ کرنے کے درمیان فرق واضح کیا گیا ہے۔
پاکستانی ویب سائٹ WhatMobile پر کیا سامنے آیا؟
Citizen Lab کی رپورٹ میں پاکستان کی معروف موبائل فون معلومات فراہم کرنے والی ویب سائٹ whatmobile.com.pk کا بھی ذکر موجود ہے۔
محققین کے مطابق اس ویب سائٹ پر متعلقہ مشکوک تکنیکی کوڈ والے اشتہارات ایک لاکھ سے زیادہ مرتبہ دکھائے گئے۔
یہاں صرف بولی لگنے کی بات نہیں ہو رہی، بلکہ محققین کے دستیاب ریکارڈ کے مطابق اشتہار واقعی دکھایا گیا تھا۔
لیکن ایک لاکھ سے زیادہ اشتہارات کا مطلب یہ نہیں کہ ایک لاکھ الگ پاکستانی صارفین کو جاسوسی کے لیے منتخب کیا گیا یا ان کے فون ہیک ہوئے۔
ایک ہی شخص کسی اشتہار کو کئی مرتبہ دیکھ سکتا ہے۔ اس کے علاوہ اشتہار نظر آنے سے یہ ثابت نہیں ہوتا کہ اس کے ذریعے فون پر حملہ بھی ہوا۔
کسی ویب سائٹ پر مشکوک اشتہار نظر آنے کا مطلب یہ بھی نہیں کہ اس ویب سائٹ کا مالک جان بوجھ کر جاسوسی کی کارروائی میں شامل تھا۔
زیادہ تر ویب سائٹس اپنے اشتہارات بیرونی اشتہاری نیٹ ورکس کے ذریعے دکھاتی ہیں۔ ان نیٹ ورکس میں اشتہار کی جگہ خریدنے اور اشتہار پہنچانے کے فیصلے خودکار نظام کے ذریعے ہو سکتے ہیں۔
اس لیے ضروری نہیں کہ ویب سائٹ کے مالکان کو ہر اشتہار کے اندر موجود تکنیکی کوڈ کا علم ہو۔
Citizen Lab نے WhatMobile کے مالکان، ایڈیٹرز یا عملے کی دانستہ شرکت یا غلط کام کی تصدیق نہیں کی۔
رپورٹ کا یہ حصہ صرف یہ ثابت کرتا ہے کہ زیرِ تحقیق اشتہاری نظام پاکستان کی ایک عام استعمال ہونے والی ویب سائٹ تک پہنچا تھا۔
کیا پاکستانی سرکاری اداروں کے نیٹ ورکس پر بھی یہ اشتہارات آئے؟
جی ہاں۔ Citizen Lab نے پاکستان کو ان ممالک میں شامل کیا جہاں سرکاری اداروں کے زیرِ استعمال انٹرنیٹ نیٹ ورکس پر متعلقہ اشتہارات دکھائے جانے کا ریکارڈ ملا۔
محققین نے دنیا کے مختلف ملکوں کے سرکاری، دفاعی اور اہم عوامی شعبوں سے منسلک نیٹ ورکس میں ایسی سرگرمی کا جائزہ لیا۔
تاہم پاکستان سے متعلق فہرست میں کسی مخصوص وزارت، فوجی ادارے، خفیہ ایجنسی یا دوسرے سرکاری دفتر کا نام نہیں بتایا گیا۔
یہ بھی ثابت نہیں ہوا کہ کسی خاص پاکستانی سرکاری ادارے کے فون، کمپیوٹر یا پورے نیٹ ورک کی سکیورٹی توڑ دی گئی تھی۔
اگر سرکاری نیٹ ورک سے منسلک کسی آلے پر اشتہار ظاہر ہو تو اس کا یہ مطلب نہیں کہ حملہ آور اس نیٹ ورک کے اندر داخل ہو گیا۔
اسی طرح کسی اشتہار کے دکھائے جانے سے یہ بھی ضروری نہیں کہ اس آلے کے استعمال کرنے والے فرد کو خاص طور پر جاسوسی کے لیے چنا گیا ہو۔
Citizen Lab نے NATO، اقوام متحدہ اور بعض یورپی اداروں سے متعلق نیٹ ورکس پر بھی ایسے اشتہارات نظر آنے کی نشاندہی کی ہے۔
یہ نتائج اہم ہیں کیونکہ اس سے ظاہر ہوتا ہے کہ مشکوک اشتہاری نظام حساس اداروں تک بھی پہنچ سکتا تھا۔
لیکن متعلقہ اشتہار کے نظر آنے، جاسوسی کی کوشش ہونے اور سسٹم کے واقعی ہیک ہونے میں فرق موجود ہے۔
Citizen Lab نے مزید تحقیقات کی ضرورت بتائی ہے تاکہ یہ معلوم کیا جا سکے کہ ان نیٹ ورکس میں سے کسی پر واقعی کامیاب جاسوسی حملہ ہوا تھا یا نہیں۔
Pindi نامی اکاؤنٹ کا پاکستان سے کیا تعلق تھا؟
Citizen Lab نے Discover-Tech کے Controlium نامی پلیٹ فارم کے لاگ اِن ریکارڈ میں پاکستان سے متعلق ایک اور تفصیل بھی تلاش کی۔
محققین کو اس پلیٹ فارم پر Pindi نامی اکاؤنٹ ملا۔ رپورٹ کے مطابق اس اکاؤنٹ کے مشاہدے میں آنے والے تمام لاگ اِن پاکستان سے منسلک IP ایڈریس کے ذریعے ہوئے تھے۔
لیکن Citizen Lab یہ معلوم نہیں کر سکا کہ اس اکاؤنٹ کو استعمال کرنے والا شخص یا ادارہ کون تھا۔
تحقیق میں ایسے دوسرے اکاؤنٹس بھی سامنے آئے جن کے لاگ اِن بھارت یا اٹلی سے منسلک تھے، مگر ان کے حقیقی مالکان کی شناخت بھی مکمل طور پر ثابت نہیں ہوئی۔
یہاں ایک بہت اہم احتیاط ضروری ہے۔ صرف Pindi نام ہونے سے یہ ثابت نہیں ہوتا کہ اس اکاؤنٹ کا تعلق راولپنڈی، پاکستانی فوج، کسی خفیہ ادارے یا سرکاری محکمے سے تھا۔
محققین نے اکاؤنٹ چلانے والے شخص کا نام، شہریت، ملازمت یا اس کے ادارے کی تصدیق نہیں کی۔
پاکستانی IP ایڈریس سے لاگ اِن ہونا تکنیکی ریکارڈ میں پاکستان سے تعلق کا ایک اشارہ ضرور ہے، لیکن یہ کسی مخصوص شخص یا ادارے کی شناخت نہیں بتاتا۔
اس لیے اس اکاؤنٹ کو کسی پر الزام لگانے کے لیے استعمال کرنا درست نہیں ہوگا۔ مزید معلومات کے بغیر اس کی اصل شناخت نامعلوم ہے۔
Al Jazeera کے آلات پر جاسوسی حملے کیسے ہوئے؟
Citizen Lab کی تحقیق میں جاسوسی سافٹ ویئر کے حقیقی استعمال کا سب سے مضبوط ثبوت بین الاقوامی نیوز ادارے Al Jazeera کے معاملے میں سامنے آیا۔
محققین کے مطابق 2024 اور 2025 کے دوران Al Jazeera کے کم از کم 45 آلات کو ایسے حملوں کا نشانہ بنایا گیا جن کا تعلق Candiru نامی کمپنی کے جاسوسی سافٹ ویئر سے تھا۔
Al Jazeera نے محققین کو اپنے نیٹ ورک کا تکنیکی ریکارڈ فراہم کیا۔ اس ریکارڈ میں بعض متاثرہ آلات کے رابطے پہلے Discover-Tech کے اشتہاری نظام سے منسلک سرورز اور پھر Candiru سے تعلق رکھنے والے سسٹمز کے ساتھ سامنے آئے۔
تحقیقات میں مزید تکنیکی شواہد بھی ملے جن سے محققین نے نتیجہ نکالا کہ جاسوسی سافٹ ویئر کے ذریعے حقیقی انفیکشن ہوئے تھے۔
یہ بات اہم ہے کیونکہ اس سے ثابت ہوتا ہے کہ اشتہارات کے ذریعے بغیر کلک کیے جاسوسی سافٹ ویئر پہنچانا صرف ایک نظریاتی خطرہ نہیں تھا۔ ایسا حملہ حقیقی دنیا میں استعمال ہوا۔
لیکن کم از کم 45 آلات کو نشانہ بنانے اور تمام 45 آلات میں کامیابی سے سافٹ ویئر نصب ہونے کی تصدیق ایک جیسی باتیں نہیں ہیں۔
Citizen Lab نے نشانہ بنائے جانے کی تعداد کے ساتھ انفیکشن کے تکنیکی ثبوت بھی فراہم کیے، مگر ہر نشانہ بنائے گئے آلے کو خودبخود کامیابی سے ہیک شدہ شمار نہیں کرنا چاہیے۔
Al Jazeera نے اپنے عملے پر جاسوسی حملوں کی مذمت کی۔ Committee to Protect Journalists نے بھی اس معاملے کو صحافیوں اور ان کے خفیہ ذرائع کے تحفظ کے لیے اہم خطرہ قرار دیا۔
یہ حملے 2024 اور 2025 میں ہوئے تھے، جبکہ پاکستان کی دوسری پوزیشن مارچ سے جون 2026 کے اشتہاری ریکارڈ سے متعلق ہے۔
اس لیے Al Jazeera میں انفیکشن کی تصدیق کو پاکستان میں تصدیق شدہ ہیکنگ کا ثبوت نہیں کہا جا سکتا۔
Discover-Tech اور Candiru کون سی کمپنیاں ہیں؟
Citizen Lab کی تحقیق کے مطابق Discover-Tech اسرائیل سے تعلق رکھنے والی ایک اشتہاری ٹیکنالوجی کمپنی ہے۔
محققین نے بتایا کہ کمپنی کا MyDSP نظام ویب سائٹس اور موبائل ایپس پر اشتہار کی جگہ خریدنے کے لیے استعمال ہوتا تھا، جبکہ Controlium نامی پلیٹ فارم صارفین اور آلات کی شناخت اور نگرانی سے متعلق سرگرمیوں میں استعمال ہوا۔
تحقیق کے مطابق ان نظاموں کی مدد سے مخصوص آلات کی شناخت کی جا سکتی تھی اور بعض صورتوں میں انہیں جاسوسی حملے کے لیے منتخب کیا جا سکتا تھا۔
دوسری طرف Candiru ایک الگ کمپنی ہے جو تجارتی جاسوسی سافٹ ویئر بنانے کے لیے جانی جاتی ہے۔ Citizen Lab نے Candiru کے ساتھ Integrity Labs کا نام بھی استعمال کیا ہے۔
Al Jazeera کے تصدیق شدہ حملوں میں Candiru کے جاسوسی سافٹ ویئر کا تعلق سامنے آیا، جبکہ Discover-Tech کے اشتہاری نظام نے متعلقہ آلات تک پہنچنے کا راستہ فراہم کیا۔
اس لیے دونوں کمپنیوں کے کردار الگ ہیں۔ ایک کمپنی کا نظام اشتہارات اور صارفین کی شناخت سے متعلق تھا، جبکہ دوسری کمپنی جاسوسی سافٹ ویئر تیار کرنے سے منسلک تھی۔
امریکی محکمہ تجارت نے 2021 میں Candiru کو اپنی Entity List میں شامل کیا تھا۔ اس وقت کمپنی کے جاسوسی سافٹ ویئر کے صحافیوں، حکومتی اہلکاروں اور دوسرے افراد کے خلاف استعمال پر تشویش ظاہر کی گئی تھی۔
Citizen Lab نے Intelos اور Bindecy سمیت دوسری نگرانی سے متعلق کمپنیوں کے ساتھ بھی روابط کی نشاندہی کی ہے۔
تاہم ان روابط سے ہر اشتہاری مہم کے خریدار یا ہر جاسوسی حملے کا نشانہ بننے والے فرد کی شناخت ثابت نہیں ہوتی۔
اشتہاری سکیورٹی کی کمپنی Confiant نے بھی الگ تکنیکی تحقیق میں Discover-Tech کے مشکوک اشتہاری کوڈ اور نگرانی سے متعلق انفراسٹرکچر کے روابط سامنے لائے۔
یہ مشکوک اشتہاری سرگرمی دنیا بھر میں کتنے بڑے پیمانے پر ہوئی؟
Citizen Lab کے مطابق Discover-Tech کے MyDSP نظام نے مارچ سے جون 2026 کے دوران 3,770,286,576 اشتہاری بولیاں لگائیں۔ یہ تقریباً تین ارب 77 کروڑ بولیاں بنتی ہیں۔
ریکارڈ کے مطابق ان میں سے 441,954,291 بولیاں کامیاب ہوتی دکھائی دیں، جو مجموعی بولیوں کا تقریباً 11.7 فیصد تھیں۔
اس پورے ڈیٹا میں کم از کم 718,748,885 بولیاں ایسے اشتہارات سے متعلق تھیں جن میں بظاہر زیرِ تحقیق مشکوک سرور سے رابطہ کرنے والا تکنیکی کوڈ موجود تھا۔
یہ تینوں اعداد مختلف چیزیں بتاتے ہیں۔ مجموعی بولیاں تمام متعلقہ اشتہاری کوششوں کی تعداد ہیں، جبکہ کامیاب بولیاں ان مواقع کی تعداد ظاہر کرتی ہیں جن میں متعلقہ نظام نے اشتہار کی جگہ حاصل کی۔
دوسری طرف تقریباً 71 کروڑ 87 لاکھ بولیوں کا عدد ان اشتہارات سے متعلق ہے جنہیں محققین نے مخصوص تکنیکی نشانات کی وجہ سے مشکوک نظام کے ساتھ منسلک کیا۔
تحقیق میں 75,373 موبائل ایپس اور 120,768 ویب سائٹس کی نشاندہی بھی ہوئی جہاں متعلقہ کوڈ والے اشتہارات واقعی دکھائے گئے۔
ان میں گیمز، خبریں، تفریح، موسم اور دوسری عام استعمال ہونے والی ڈیجیٹل سروسز شامل تھیں۔
لیکن ان ایپس اور ویب سائٹس کی تعداد کا مطلب یہ نہیں کہ یہ تمام ایپس خود ہیک ہوئی تھیں یا ان کے مالکان جان بوجھ کر جاسوسی میں شامل تھے۔
اسی طرح کامیاب اشتہاری بولی، جاسوسی سافٹ ویئر کے کامیاب انفیکشن کا ثبوت نہیں ہے۔
Citizen Lab کے پاس Discover-Tech کی بعض دوسری اشتہاری سروسز، جن میں Beeswax اور Eskimi شامل ہیں، کا اسی نوعیت کا مکمل ریکارڈ موجود نہیں تھا۔
اس لیے محققین نے ایک بہت بڑے اور اہم حصے کی جانچ کی، مگر یہ دنیا بھر میں ہونے والی تمام ممکنہ اشتہاری سرگرمیوں یا جاسوسی حملوں کی مکمل فہرست نہیں ہے۔
Google اور دوسری اشتہاری کمپنیوں نے کیا کارروائی کی؟
Citizen Lab کی تحقیق سامنے آنے کے دوران کئی بڑی اشتہاری کمپنیوں اور تنظیموں نے Discover-Tech کے خلاف مختلف اقدامات کیے۔
Google نے بتایا کہ اس نے Discover-Tech کی اپنے اشتہاری ایکسچینجز تک رسائی ختم کر دی ہے۔ اس کا مطلب یہ تھا کہ کمپنی ان پلیٹ فارمز کے ذریعے مزید اشتہاری بولیاں یا اشتہارات نہیں چلا سکتی۔
Google نے کچھ مشکوک ڈومینز کے بارے میں صارفین کو خبردار کرنے کے لیے Safe Browsing میں بھی حفاظتی اقدامات کرنے کا بتایا۔
IAB Europe نے 15 اکتوبر 2026 کے اپنے سرکاری بیان میں بتایا کہ Discover-Tech کو Global Vendor List سے معطل کیا گیا تھا۔
تنظیم کے مطابق کمپنی کے قواعد سے متعلق آڈٹ میں خلاف ورزیاں سامنے آئی تھیں۔ معطلی اس وقت تک برقرار رہنی تھی جب تک متعلقہ مسائل دور نہ کر دیے جائیں اور قواعد کی پابندی کی تصدیق نہ ہو جائے۔
IAB Europe نے یہ بھی کہا تھا کہ مزید شواہد سامنے آنے پر کمپنی کو مستقل طور پر نکالنے کا فیصلہ کیا جا سکتا ہے۔
اس لیے اس بیان کے مطابق درست بات معطلی ہے، نہ کہ کمپنی کے مستقل اخراج کی حتمی تصدیق۔
Comcast کے FreeWheel سے منسلک Beeswax نے بتایا کہ سکیورٹی جانچ اور ماہرین کی تصدیق کے بعد Discover-Tech کو اپنے Buyer Cloud اشتہاری پلیٹ فارم سے ہٹا دیا گیا۔
Vungle، جسے Liftoff چلاتا ہے، نے کہا کہ اس نے اپنی تحقیقات کے دوران Discover-Tech کی رسائی عارضی طور پر روک دی ہے۔
Eskimi کے مطابق اسے ایسا اشتہاری کوڈ ملا جو صارف، فون اور انٹرنیٹ کنکشن کے مطابق مختلف انداز میں کام کرتا تھا اور خودکار سکیورٹی جانچ سے بچنے کی کوشش کر سکتا تھا۔
کمپنی نے بتایا کہ اس نے متعلقہ اکاؤنٹس، صارفین اور ڈومینز مستقل طور پر بلاک کر دیے۔ اس کے مطابق Discover-Tech کی آخری مہم 6 اگست 2026 کو روک دی گئی تھی۔
تحقیق میں نام آنے والی دو دوسری کمپنیوں Adtimizer اور Volasim نے بھی اپنے مؤقف پیش کیے۔
Adtimizer نے کہا کہ Discover-Tech سے متعلق جس انفراسٹرکچر کا ذکر ہوا، اسے وہ خود نہیں چلا رہی تھی اور نہ ہی اسے مبینہ جاسوسی سرگرمی کا علم تھا یا اس میں اس کی شرکت تھی۔
Volasim نے کہا کہ اس نے اپنی مصنوعات کی تشہیر کے لیے Discover-Tech کو ایک بیرونی اشتہاری کمپنی کے طور پر استعمال کیا تھا، لیکن جاسوسی سے متعلق سرگرمی کی اجازت دینے، اس میں حصہ لینے یا جان بوجھ کر مدد کرنے کی تردید کی۔
Citizen Lab نے بتایا کہ Discover-Tech اور Candiru نے تحقیق کی اشاعت سے پہلے دی گئی مہلت میں اس کے سوالات کا جواب نہیں دیا۔
خبر رساں ادارے Reuters نے بھی 15 اکتوبر کو اس معاملے پر رپورٹ دی، کمپنیوں کا مؤقف حاصل کرنے کی کوششوں اور اشتہاری صنعت میں ہونے والی کارروائیوں کا ذکر کیا۔
یہاں ایک اہم فرق برقرار رکھنا چاہیے۔ کچھ کمپنیوں نے Discover-Tech کی رسائی ختم کی، کچھ نے تحقیقات کے دوران روکی، IAB Europe نے اسے معطل کیا، جبکہ تحقیق میں نام آنے والی بعض کمپنیوں نے کسی دانستہ غلط کام میں ملوث ہونے کی تردید کی۔
پاکستانی صارفین اپنے فون اور ڈیٹا کو کیسے محفوظ رکھ سکتے ہیں؟
اس تحقیق کا مطلب یہ نہیں کہ پاکستان میں ہر شخص کا فون فوری طور پر جاسوسی کے خطرے میں ہے۔ لیکن یہ ضرور ظاہر ہوتا ہے کہ آن لائن اشتہارات کا نظام بعض حالات میں صارفین کا سراغ لگانے اور مخصوص آلات پر حملے کے لیے استعمال ہو سکتا ہے۔
Citizen Lab نے اس خطرے کو کم کرنے کے لیے ایسے قابلِ اعتماد براؤزر استعمال کرنے کا مشورہ دیا ہے جن میں غیر ضروری اشتہارات اور ٹریکنگ روکنے کی سہولت موجود ہو۔
ایک معروف اور قابلِ اعتماد ad blocker بھی غیر ضروری اشتہارات اور بعض بیرونی کوڈ کو روکنے میں مدد دے سکتا ہے۔
صارفین اپنے فون کی پرائیویسی سیٹنگز میں اشتہاری شناختی نمبر اور ذاتی نوعیت کے اشتہارات سے متعلق اختیارات بھی دیکھ سکتے ہیں۔ جہاں سہولت دستیاب ہو، اشتہاری شناختی نمبر ری سیٹ یا ٹریکنگ محدود کی جا سکتی ہے۔
فون کا آپریٹنگ سسٹم، براؤزر اور ایپس اپ ڈیٹ رکھنا بھی ضروری ہے تاکہ معلوم سکیورٹی خامیاں دور ہوتی رہیں۔
ایپس صرف قابلِ اعتماد ذرائع سے انسٹال کریں اور انہیں کیمرے، مائیکروفون، لوکیشن اور دوسری معلومات تک رسائی صرف ضرورت کے مطابق دیں۔
تاہم zero-click حملے کا طریقہ عام جعلی پیغام یا مشکوک لنک سے مختلف ہو سکتا ہے۔ بعض صورتوں میں صارف کے کچھ دبائے بغیر بھی حملہ شروع ہو سکتا ہے۔
اس لیے صرف مشکوک لنکس سے بچنا ہر جدید جاسوسی حملے سے مکمل تحفظ نہیں دیتا۔
صحافیوں، سماجی کارکنوں، اہم سرکاری معلومات پر کام کرنے والوں اور دوسرے حساس شعبوں سے متعلق افراد کو اگر خاص طور پر نشانہ بنائے جانے کا خدشہ ہو تو قابلِ اعتماد ڈیجیٹل سکیورٹی ماہرین سے مدد لینی چاہیے۔
اداروں کو بھی اپنے دفتری آلات اور نیٹ ورکس پر غیر ضروری اشتہارات اور ٹریکنگ محدود کرنے، سکیورٹی اپ ڈیٹس جاری رکھنے اور مشکوک نیٹ ورک رابطوں کی نگرانی پر توجہ دینی چاہیے۔
Citizen Lab کی حفاظتی سفارشات میں اشتہاری کمپنیوں سے بھی کہا گیا ہے کہ وہ اپنے کاروباری شراکت داروں کی بہتر جانچ کریں اور ایسے نقصان دہ اشتہاری نظام کو صارفین تک پہنچنے سے روکیں۔
یہ اقدامات بعض خطرات کم کر سکتے ہیں، لیکن کسی بھی بہت جدید جاسوسی حملے سے سو فیصد تحفظ کی ضمانت نہیں دیتے۔
اس تحقیق کا پاکستانی انٹرنیٹ صارفین کے لیے اصل مطلب کیا ہے؟
Citizen Lab کی تحقیق نے ایک ایسے مسئلے کی نشاندہی کی ہے جو عام طور پر انٹرنیٹ استعمال کرنے والوں کو نظر نہیں آتا۔ اشتہارات دکھانے کے لیے بنایا گیا نظام بعض حالات میں صارفین کی شناخت اور سرگرمیوں کا سراغ لگانے کے ساتھ مخصوص آلات تک جاسوسی سافٹ ویئر پہنچانے کا ذریعہ بھی بن سکتا ہے۔
پاکستان کا 13 کروڑ 94 لاکھ سے زیادہ مشکوک اشتہاری بولیوں کے ساتھ دوسرے نمبر پر آنا ایک اہم نتیجہ ہے۔ WhatMobile پر متعلقہ اشتہارات دکھائے جانے اور بعض پاکستانی سرکاری نیٹ ورکس تک ان کے پہنچنے کے ریکارڈ سے مزید سوالات بھی سامنے آئے ہیں۔
لیکن ثبوت کی حد بھی واضح ہے۔ تحقیق سے یہ ثابت نہیں ہوتا کہ اتنی بڑی تعداد میں پاکستانیوں کے فون ہیک ہوئے، WhatMobile نے جان بوجھ کر جاسوسی میں حصہ لیا، کوئی مخصوص پاکستانی سرکاری ادارہ متاثر ہوا یا Pindi نامی اکاؤنٹ کسی خاص تنظیم سے تعلق رکھتا تھا۔
Al Jazeera کے معاملے میں جاسوسی سافٹ ویئر کے حقیقی استعمال کی تصدیق ہوئی، لیکن پاکستان سے متعلق اعداد اشتہاری بولیوں اور بعض اشتہارات کے دکھائے جانے کے ریکارڈ سے متعلق ہیں۔
یہ جاننے کے لیے مزید آزاد اور تکنیکی تحقیقات درکار ہوں گی کہ آیا پاکستان میں کسی شخص کے فون کو اس نظام کے ذریعے خاص طور پر ہیک کرنے کی کوشش کی گئی تھی اور اگر کی گئی تو وہ کامیاب ہوئی یا نہیں۔
فی الحال درست نتیجہ یہی ہے کہ پاکستان Citizen Lab کی تحقیق میں جاسوسی سافٹ ویئر سے منسلک اشتہاری بولیوں کی مجموعی تعداد میں دنیا میں دوسرے نمبر پر رہا، لیکن پاکستانی فونز میں تصدیق شدہ جاسوسی سافٹ ویئر کی تعداد اس تحقیق سے معلوم نہیں ہوتی۔
