Voor bedrijven die inkomsten genereren via advertentiemarktplaatsmodellen zijn externe advertentienetwerken, analyseplatformen en marketingscripts onmisbaar. Ze zijn nodig om omzet te stimuleren door betrokkenheid te vergroten en gebruikersgedrag bij te houden.
Maar ze brengen ook client-side risico's met zich mee.
We hebben het over kwaadaardige advertentie-injecties, phishingpraktijken en kwetsbaarheden in scripts van derden die steeds vaker door aanvallers worden misbruikt.
Onderzoeken zoals het Verizon 2024 Data Breach Investigations Report (DBIR) en Forrester's Business Risk Survey benadrukken dat kwetsbaarheden in de digitale toeleveringsketen — inclusief afhankelijkheden van derden — een van de voornaamste oorzaken zijn van moderne datalekken.
En dat komt doordat deze scripts volledig vrij spel hebben in de browser van uw gebruikers. Ze kunnen in principe alles laden wat ze willen en de ervaring van de bezoeker volledig veranderen.
Ons doel is om best practices te belichten voor het beschermen van eindgebruikersdata en het waarborgen van doorlopende compliance. Zelfs onder druk om de advertentie-inkomsten te maximaliseren. Het een hoeft het ander niet uit te sluiten.
Wat zijn deze bedreigingen precies
- Kwaadaardige scripts: Advertentiemarktplaatsmodellen zijn afhankelijk van frequente scriptrotatie voor analyses en het weergeven van advertenties. Kwaadwillenden maken gebruik van deze dynamische omgevingen om malware in te sluiten of gegevens te onderscheppen. Zoals het DBIR aangeeft, blijft kwaadaardige injectie via advertentieservers of directe scriptmanipulatie een van de belangrijkste infiltratievectoren.
- Diefstal van inloggegevens en exploits: Het DBIR onderstreept hoe phishing, gestolen inloggegevens en misbruikte kwetsbaarheden steeds vaker de voornaamste oorzaken van datalekken zijn. Aanvallers maken gebruik van marketingplatformen en onbeheerde scripts om snel door te dringen tot gevoeliger delen van de website.
- Explosieve groei van ecosystemen van derden: Forrester's onderzoek naar risico's van derden toont aan dat overmatige afhankelijkheid van leveranciers het risicobeheer heeft bemoeilijkt, waarbij 25% van de ondernemingen een verhoogd beveiligingsrisico toeschrijft aan hun groeiende netwerken van derden. Toch beoordeelt minder dan de helft van de bedrijven zelfs maar 50% van hun relaties met derden, onder meer vanwege beperkte middelen en concurrerende prioriteiten.
- Gebruik van moderne technologie: Zoals Forrester opmerkt, beschouwen veel bedrijven het beheer van risico's van derden (TPRM) niet als een prioriteit op hoog niveau, ondanks zero-day exploits zoals MOVEit die zwakke plekken in de toeleveringsketen blootleggen. Handmatig toezicht kan de dynamische aard van moderne digitale ecosystemen niet bijhouden, waardoor client-side kwetsbaarheden onopgemerkt blijven.
Hoe dit van toepassing is op advertentiemarktplaatsen
De afhankelijkheid van externe advertentienetwerken en marketingtechnologieleveranciers maakt advertentiemarktplaatsplatformen — en degenen die ze integreren — tot aantrekkelijke doelwitten voor aanvallers. Forrester vermeldt specifiek dat financiën, productie en grote multinationale ondernemingen een verhoogd risico lopen, maar 3rd-party beveiliging niet consequent prioriteren.
Internationaal opererende bedrijven krijgen te maken met uiteenlopende regelgevingskaders. EMEA-bedrijven ondervinden bijvoorbeeld strengere verplichtingen via de EU's Digital Operational Resilience Act (DORA) en de AVG.
Ondertussen zagen Noord-Amerikaanse en APAC-organisaties een sterke daling in de aandacht voor TPRM, ondanks de voortdurende toename van grensoverschrijdende advertentiescripts en infrastructuur. Dit regelgevingsverschil leidt vaak tot inconsistente beoordeling van leveranciers.
En uiteraard kan het verwaarlozen van relaties met derden tot allerlei problemen leiden. Uw omzet, complianceboetes of zelfs collectieve rechtszaken na datalekken. Zodra aanvallers zich client-side hebben genesteld, kunnen ze relatief eenvoudig — en waarschijnlijk onopgemerkt — consumentendata afvoeren of campagnes kapen.
Hoe dit op te lossen
Om client-side en 3rd-party risicobeheer te versterken, moeten organisaties een gestructureerde en proactieve aanpak hanteren.
Begin met het bijhouden van een uitgebreid en regelmatig bijgewerkt register van alle analyse- en ad-tech-partners. Elke leverancier moet worden beoordeeld op basis van zijn toegang tot gevoelige gebruikersdata en de omzetafhankelijkheid van de organisatie van zijn diensten.
Automatisering kan een belangrijke rol spelen bij leveranciersbeoordelingen. Elke organisatie die uitgebreide netwerken van scripts van derden beheert, moet robuuste TPRM- of governance-, risico- en complianceplatformen implementeren. Deze tools bieden continue evaluatie en stroomlijnen het toezicht, waarbij statische, jaarlijkse checklists worden vervangen door dynamische, realtime monitoring. En het bespaart enorm veel tijd, wat enorm veel geld bespaart.
Aan de client-side zijn er verschillende opties op de markt. We hebben een proxy-gebaseerde oplossing ontwikkeld die zorgt voor zichtbaarheid in advertentiescripts terwijl ze worden uitgevoerd. Dit maakt het mogelijk om kwaadaardige injecties in realtime te detecteren en te blokkeren, wat niet alle tools kunnen bieden.
Standaard moet multifactorauthenticatie (MFA) verplicht worden gesteld voor alle beheerderslogins, en inloggegevens voor platforms van derden moeten worden gesegmenteerd. Het inzetten van phishingdetectietools binnen teams versterkt de weerbaarheid eveneens.
Het afstemmen van beveiligingsinvesteringen op erkende risico's is even belangrijk. Organisaties die de blootstelling aan derden erkennen, hebben meer kans op hogere budgetten voor risicobeheer. Gebruik dit momentum om TPRM-platformen en code-inspectietools te financieren.
Slotopmerkingen
Uw advertentiemarktplaatsmonetisering loopt waarschijnlijk risico vanwege de aard van de implementatie ervan op uw site. Het is geen bug, het is een feature. Het hoort nu eenmaal bij het territorium. Dat is immers de client-side omgeving.
Dit zijn de belangrijkste punten om mee te nemen.
Geef prioriteit aan client-side beveiliging bij het beschermen van deze scripts, en daarmee uw gebruikers en uzelf. Gebruik een tool zoals cside om het gedrag van deze scripts van derden continu te monitoren en kwaadaardige pogingen te onderscheppen.
Stel ondertussen een inventaris op van deze scripts van derden (wat cside voor u doet), en zorg ervoor dat u uw partners goed doorlicht.
Uw voortdurende succes loopt parallel aan de veiligheid van uw website. Let op elk onderdeel van de digitale toeleveringsketen en zorg ervoor dat uw bezoekers en gebruikers veilig door uw pagina's kunnen navigeren.
