Annonser kopplade till spionprogram visades i Försvarsmaktens nätverk

En annons på nätet kan innehålla mer än en bild. Den kan också bära på kod, och forskare vid Citizen Lab på Torontos universitet har nu visat hur sådan kod används för att installera spionprogram på en utvald persons enhet utan att personen behöver trycka på något. Tekniken kallas AdFection av forskarna. Den som hackades på det här sättet ”skulle inte märka något misstänkt”, säger seniorforskaren Bill Marczak till Wired. ”Faktum är att personen kanske inte ens skulle se någon annons.”

Det här är viktigt för alla som har en telefon full av gratisappar. Angrepp utan klick har oftast utnyttjat säkerhetshål i meddelandeappar, som företagen kan täppa till. I det här fallet skedde angreppet via den vanliga teknik som avgör vilken annons du får se: en auktion som genomförs på bråkdelen av en sekund varje gång en app eller webbsida laddas och som redan skickar vidare din enhets annons-ID, din IP-adress och uppgifter om din telefon.

I centrum står Discover-Tech, ett Israelregistrerat företag som utgav sig för att vara ett annonsbolag. Enligt rapporten gjorde företagets plattform Controlium det möjligt för kunder att välja ut en enskild måltavla med hjälp av annons-ID, webbläsarkaka eller IP-adress och skicka kod till enheten i samma ögonblick som en annons visades. Alla andra fick en vanlig annons. Citizen Lab kopplar med hög grad av säkerhet en rad angrepp mot nyhetsnätverket Al Jazeera till Candiru, ett företag som tillverkar spionprogram och numera kallar sig Integrity Labs. Minst 45 enheter inom tv-bolaget utsattes för angrepp, och en infekterad Windows-dator innehöll en fil som pekade ut Candirus servrar.

Hur forskarna tog sig in är nästan komiskt. Controliums inloggningssida skickade med hela källkoden till sin egen kontrollpanel, så teamet sparade sidan, kopplade bort länkarna till externa servrar och aktiverade alla skärmbilder. En server hos Discover-Tech hade dessutom lämnat nästan fyra miljarder annonsbud öppet tillgängliga. Uppgifterna visar annonser med angriparens skripttagg i 75 373 Android- och iOS-appar och på 120 768 webbplatser. Flera välkända namn dyker upp: meddelandeappen Viber visade fler än 700 000 av annonserna på Android, och de förekom också i Yahoo Mail, Opera Mini och Duolingo.

Siffrorna måste tolkas försiktigt. Att en Discover-Tech-annons visas på din skärm betyder inte att din telefon har hackats, understryker Citizen Lab. I de flesta fall skickade företagets server inte tillbaka någon kod alls, och budgivningsdata omfattar bara en av bolagets annonsplattformar under fyra månader. Citizen Lab har inte sagt vilka regeringar som betalade för operationen mot Al Jazeera, och uppgiften om att annonserna nådde nätverk hos NATO, FN och flera europeiska institutioner visar hur långt de spreds – inte att enheterna bevisligen infekterades. I Norge nådde annonserna parlamentets och polisens nätverk; i Sverige nådde de Försvarsmaktens och den nationella nätoperatörens. De skyddsåtgärder som vanliga människor har tillgång till är trubbiga. Marczaks råd till den som kan bli måltavla ”på grund av vem du är eller vad du gör” är att stänga av annonsspårning eller blockera annonser helt.

Annonsbranschen har börjat agera. Google uppger att företaget stängde av Discover-Tech från sina annonsplattformar efter en gemensam utredning med Citizen Lab och säkerhetsföretaget Confiant, och att det lade till varningar i Safe Browsing för webbplatser med koppling till gruppen. IAB Europe stängde av företaget från sin lista över godkända annonsleverantörer, och Comcast-ägda Beeswax tog bort det från sin plattform. Discover-Tech svarade inte på frågor från Wired eller TechCrunch.

Citizen Lab publicerade rapporten den 15 oktober 2026. Den behandlar angreppen mot Al Jazeera 2024 och 2025 samt budgivningsdata från mars till juni 2026. En andra rapport om en separat grupp, som laboratoriet kallar DARK CARTOGRAPHER, är på väg. Enligt Citizen Lab använde gruppen samma infrastruktur för att koppla ihop telefoners annons-ID:n med deras telefonnummer genom sårbarheter hos mobiloperatörer i fler än 30 länder.

Marczak beskriver Discover-Tech som ”säkert bara toppen av isberget”. Hans team behövde inte leta länge efter företagets annonser. De dök upp på forskarnas egna skärmar när de läste CBC:s och Yahoos webbplatser och spelade sudoku på Android.

Taggar: AdFection, annonser, Candiru, Citizen Lab, Discover-Tech, IT-säkerhet