تصمیم شرکت Apple برای غیرفعال کردن زیرساخت‌های شناسه شخص ثالث (Third-party ID) در موتور مرورگر WebKit، موج جدیدی از چالش‌ها را برای صنعت فناوری تبلیغات (ad tech) ایجاد کرده است. درحالی‌که فعالان این صنعت اقدام اپل را تصمیمی انحصارطلبانه می‌دانند، افشای آسیب‌پذیری‌های شدید امنیت سایبری در اکوسیستم تبلیغات برنامه‌ریزی‌شده (Programmatic Advertising)، ابعاد تازه‌ای به این مناقشه بخشیده و منطق حفاظتی اقدامات اپل در دستگاه‌های iOS و Mac را پررنگ‌تر کرده است.
افشای آسیب‌پذیری‌های امنیتی در تبلیغات برنامه‌ریزی‌شده
در تاریخ ۱۵ اکتبر، شرکت امنیت تبلیغات Confiant و آزمایشگاه سیتیزن لب (Citizen Lab) وابسته به دانشگاه تورنتو، گزارشی از یک حمله جاسوس‌افزاری بدون نیاز به کلیک (Zero-click) را منتشر کردند که از طریق تبلیغات هدفمند توزیع شده بود. در این حمله، از فناوری‌های دو شرکت اسرائیلی شامل فروشنده ad tech به نام Discover-Tech و شرکت جاسوس‌افزاری Candiru برای جاسوسی از کارمندان رسانه Al Jazeera استفاده شد. این تبلیغات مخرب در بیش از ۱۲۰,۰۰۰ وب‌سایت و ۷۰,۰۰۰ اپلیکیشن نمایش داده شدند.
ولفی کریستل (Wolfie Christl)، پژوهشگر ارشد Citizen Lab، در گفتگو با نشریه Forbes اعلام کرد:
blockquote>«محافظت مداوم از خود در برابر تبلیغات مخرب بسیار دشوار و تقریباً غیرممکن است. مسدودسازی تبلیغات اکنون باید به‌عنوان یکی از بهترین اقدامات در زمینه امنیت سایبری در نظر گرفته شود.»
اقدام وب‌کیت اپل علیه زیرساخت‌های شناسایی هویت
هم‌زمان با بازتاب این گزارش امنیتی، اپل محدودیت‌های جدیدی را در مرورگر خود اعمال کرد. از زمان عرضه سیستم‌عامل iOS 27، نرم‌افزار Apple WebKit که موتور پردازشی مرورگر Safari و سایر مرورگرها از جمله Google Chrome در آیفون است، درخواست‌های ارسال‌شده به دامنه‌های ad tech فعال در ردگیری فرامستقل (Cross-site Tracking) را مسدود کرده است. همچنین به‌روزرسانی macOS 27 Golden Gate اقدام مشابهی را روی نسخه دسکتاپ Safari انجام داد.
تیم WebKit در پستی که در تاریخ ۱۹ اکتبر منتشر شد، وجه اشتراک دامنه‌های مسدودشده را «زیرساخت‌های شناسایی هویت» (Identity Resolution Infrastructure) عنوان کرد. در واقع، اپل بخش عمده‌ای از صنعت فناوری تبلیغات شخص ثالث را که بر این زیرساخت‌ها متکی است، تحت نظر و محدودیت قرار داده است.
با این حال، فعالان ad tech انتقاداتی جدی نسبت به نحوه اجرای این سیاست توسط اپل مطرح کرده‌اند. آن‌ها به یک ماه سکوت اپل، عدم انتشار فهرست دامنه‌های مسدودشده و نبود فرآیند اعتراض اشاره می‌کنند. همچنین گزارش شده است که حداقل در یک مورد، Google اجازه ارائه پیشنهاد قیمت (Bidding) روی موجودی تبلیغاتی iOS را داشته، درحالی‌که شرکت The Trade Desk از این امکان محروم شده است.
متیو روش (Mathieu Roche)، مدیرعامل شرکت ID5 که یکی از ارائه دهندگان شناسه‌های مسدودشده توسط WebKit است، این اقدام اپل را «حمله‌ای علیه مدل کسب‌وکار وب» نامید؛ هرچند بسیاری از تحلیل‌گران با این موضع مخالفند و معتقدند مدل بازاریابی برنامه‌ریزی‌شده نباید متکی بر شناسایی یک فرد مشخص در میان صدها هزار وب‌سایت باشد.
روند سوءاستفاده از شناسه‌ها و ضعف در تایید هویت شرکا
بر اساس گزارش Citizen Lab، شرکت Discover-Tech با خرید فضاهای تبلیغاتی از طریق اکسچنج‌های Google و Yandex و همچنین پلتفرم Beeswax متعلق به شرکت Comcast، میلیون‌ها دستگاه را به‌طور مخفیانه به سمت سرورهای Candiru هدایت کرده است. مشتریان Discover-Tech با هدف‌گیری سه شناسه شامل شناسه تبلیغاتی موبایل (MAID)، شناسه کوکی مرورگر و آدرس IP، کاربران را پروفایل‌سازی یا به مالور آلوده می‌کردند.
اپل از زمان معرفی سیاست شفافیت ردگیری اپلیکیشن (ATT) در سال ۲۰۲۱، هر سه شناسه یادشده را به‌طور سیستماتیک محدود یا پنهان کرده است. همچنین تیم مرورگر اپل در سال ۲۰۱۹ تاکید کرده بود که دور زدن ابزارهای ضد ردگیری را «با همان جدیتی که با سوءاستفاده از آسیب‌پذیری‌های امنیتی برخورد می‌شود» دنبال می‌کند.
نکته قابل توجه این است که شرکت Discover-Tech بیش از ۶ سال در فهرست جهانی فروشندگان (Global Vendor List) انجمن IAB Europe حضور داشت و از تاریخ ۲ ژوئیه ۲۰۲۰ رسماً توسط این نهاد تایید شده بود. همچنین این شرکت در فهرست فروشندگان خارجی تاییدشده Google نیز قرار داشت. با این حال، در تمام این مدت، اسناد شرکتی Discover-Tech نشان‌دهنده پیوندهای هیئت‌مدیره و سهام‌داران آن با صنعت جاسوس‌افزار بود. Google و IAB Europe تنها پس از افشاگری پژوهشگران اقدام به مسدودسازی و تعلیق این شرکت کردند.
پیامدهای استراتژیک برای ناشران و آینده تبلیغات دیجیتال
آنتونی کاتسور (Anthony Katsur)، مدیرعامل IAB Tech Lab، اخیراً اشاره کرده است که صنعت ad tech توانایی تطبیق‌پذیری دارد، اما فشار اصلی این اقدامات روی ناشران رسانه‌ای وارد می‌شود. ناشرانی که استراتژی داده‌های دست‌اول خود را بر پایه ابزارهای شناسایی هویت شخص ثالث بنا کرده‌اند، با چالش‌های جدی مواجه هستند.
اپل اعلام کرده است که قصد مداخله در داده‌های اختصاصی رسانه‌ها که با رضایت مستقیم کاربران جمع‌آوری می‌شود را ندارد. از سوی دیگر، انتقال زیرساخت‌های شناسایی هویت به سرورهای ناشر نیز راهکار ساده‌ای نیست، چرا که اپل هشدار داده است هرگونه تلاش برای دور زدن محدودیت‌ها می‌تواند منجر به «محدودیت‌های اضافی بدون اطلاع قبلی» شود.
آینده رسانه‌های بزرگ و معتبر نه بر بازار آزاد برنامه‌ریزی‌شده، بلکه بر داده‌های دست‌اول (First-party Data)، ارتباط مستقیم با مخاطبان و تبلیغات بافتاری (Contextual Targeting) استوار خواهد بود. تحولات اخیر سرعت فروپاشی مدل‌های متکی بر ردگیری ناشناس را افزایش داده است.