Citizen Lab: Spionprogram ble installert via målrettede nettannonser – uten ett eneste klikk
Det holdt at annonsen ble vist. Forskere ved Citizen Lab har for første gang dokumentert at spionprogram er blitt installert gjennom målrettede nettannonser, uten at offeret trykket på noe. Annonser fra det samme selskapet ble ifølge forskerne også vist på nettverkene til blant andre Stortinget, Politiets IT-enhet og Kripos, men det er ikke påvist at noen i Norge er infisert.
ILLUSTRASJONSFOTO: Discover-Techs annonser ble ifølge Citizen Lab vist i mer enn 75.000 mobilapper. Bildet har ingen tilknytning til saken. Foto: bohed / Pixabay via Wikimedia Commons (CC0)
Når du åpner en app eller en nettside med reklame, går det en lynrask auksjon i bakgrunnen. Appen sender opplysninger om enheten din videre, blant annet annonse-ID og IP-adresse. Annonsører byr på å få vise deg en annonse, og vinneren får plassen. En slik annonse er ikke bare et bilde. Den kan også inneholde kode som kjører i appen eller nettleseren.
Bildet øverst er et illustrasjonsfoto og har ingen tilknytning til saken.
Torsdag 15. oktober la forskningsmiljøet Citizen Lab ved University of Toronto fram en rapport om hvordan dette systemet er blitt brukt til å installere spionprogram. Forskerne kaller teknikken AdFection. Ifølge Citizen Lab er dette den første offentlige tekniske bekreftelsen på at såkalt nullklikk-spionprogram er spredt gjennom målrettede annonser.
– Den som blir hacket på denne måten, vil ikke merke noe galt. Faktisk er det ikke sikkert vedkommende ser noen annonse i det hele tatt, sier seniorforsker Bill Marczak ved Citizen Lab til Wired (vår oversettelse).
Al Jazeera ble rammet
Kjernen i rapporten er angrep mot den internasjonale nyhetskanalen Al Jazeera. Minst 45 enheter hos kanalen ble angrepet, ifølge Citizen Lab. TechCrunch og Reuters skriver at det dreide seg om Windows-maskiner.
Al Jazeera ga forskerne tilgang til nettverkslogger. Ifølge rapporten viser loggene samme mønster hver gang: Først kontakt med annonseselskapets servere, så en server som sjekket maskinen, og til slutt en kommandoserver for spionprogrammet. Kanalen hentet også ut en programfil fra en av de infiserte maskinene.
Citizen Lab konkluderer med «høy grad av sikkerhet» at filen er en nyere versjon av spionprogrammet til det israelske selskapet Candiru. Koblingen til Candiru er altså forskernes vurdering basert på teknisk analyse. USA svartelistet Candiru i 2021, og ifølge Citizen Lab opererer selskapet nå under navnet Integrity Labs. Rapporten sier ikke hvilke myndigheter som sto bak angrepene.
En bro mellom reklame og spionasje
Annonsene ble kjøpt av Discover-Tech, et selskap registrert i Israel. Citizen Lab omtaler det som en bro mellom reklamebransjen og spionvareindustrien.
Ifølge rapporten inneholdt mange av selskapets annonser en kodelinje som kontaktet Discover-Techs egen server i det øyeblikket annonsen ble vist. Serveren avgjorde ut fra annonse-ID, informasjonskapsel og IP-adresse om enheten var et mål. De fleste fikk ingenting tilbake. Utvalgte mål fikk kode som kunne laste inn mer kode, for eksempel et angrep på nettleseren som installerer spionprogram.
Den skadelige koden lå altså ikke i selve annonsen. Annonsenettverket Eskimi skriver i sitt svar til Citizen Lab at annonsene lastet ulik kode avhengig av hvem som så dem, og at de derfor slapp gjennom uavhengig kontroll.
Hundretusener av apper og nettsider
Forskerne fant nesten fire milliarder budoppføringer som lå åpent tilgjengelig på en av Discover-Techs servere. Fra mars til juni i år ble annonser med denne kodelinjen vist i 75.373 apper og på 120.768 nettsider, ifølge rapporten.
Sikkerhetsselskapet Confiant, som har gransket saken parallelt, anslår at Discover-Tech viste rundt ti millioner annonser i døgnet. I Confiants data fra april til september sto selskapet for 1,3 prosent av annonsevisningene på iPhone og iPad i Norge.
Citizen Lab understreker at det ikke betyr at enheten din er hacket om du har fått en Discover-Tech-annonse. For de aller fleste returnerte serveren ingen kode. Annonsene som Confiant knytter til Candiru, var ifølge selskapet få – hundrevis til noen tusen visninger i døgnet – noe Confiant mener tyder på nøye utvalgte mål.
Stortinget, politiet og Kripos
Budoppføringene viser også hvilke nettverk annonsene havnet på. Citizen Lab trekker fram de nordiske landene som en gruppe som bør granskes nøye.
I Norge ble Discover-Techs annonser vist til brukere på nettverkene til Stortinget, Digitaliseringsdirektoratet, Nasjonal kommunikasjonsmyndighet (Nkom), Statens IT, Politiets IT-enhet og Kripos, blant mange andre, ifølge Citizen Lab. Forskerne fant også visninger i flere fylkes- og kommunenett i Nord-Norge, blant annet nær viktige militære anlegg, og nevner Alta, Harstad og Nordland. I tillegg fant de visninger hos to norske medieorganisasjoner, som ikke er navngitt.
At en annonse er vist, betyr ikke at noen er angrepet eller infisert. Det presiserer Citizen Lab selv. Det er ikke påvist infeksjon i Norge. Forskerne mener likevel at det haster å undersøke om noen brukere på disse nettverkene er rammet. Dataene gjelder bare én av selskapets annonseplattformer og en begrenset periode.
Nasjonal sikkerhetsmyndighet (NSM) hadde fredag formiddag ikke lagt ut noe varsel om saken på nettsidene sine. Vi har ikke funnet offentlige kommentarer fra Stortinget, politiet eller Nkom.
– Måten nettreklame fungerer på i dag, er en systemisk sikkerhetstrussel, sier Citizen Lab-forsker Wolfie Christl til nyhetsbyrået Reuters (vår oversettelse).
Stengt ute – selskapene svarer ikke
Ifølge Citizen Lab har Google, bransjeorganisasjonen IAB Europe, Comcast-eide Beeswax, Vungle (Liftoff) og Eskimi tatt grep for å stenge Discover-Tech ute. Google, som samarbeidet med forskerne, har kuttet selskapets tilgang til sine annonseplattformer. Ifølge Wired sier IAB Europe at det kan bli aktuelt med endelig utestengelse.
Discover-Tech, Candiru/Integrity Labs og Bindecy, et annet spionvareselskap rapporten knytter til plattformen, svarte ikke på Citizen Labs henvendelser innen fristen. Discover-Tech har heller ikke svart Reuters.
Citizen Lab anbefaler myndigheter å blokkere annonser på statlige enheter og i egne nettverk, og å slå av annonse-ID på tjenestetelefoner.
– Hvis du kan bli et mål på grunn av hvem du er eller hva du driver med, er det på tide å slå av annonsesporing eller blokkere annonser helt, sier Marczak til TechCrunch (vår oversettelse).
Kilder
Citizen Lab: «Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware», 15.10.2026 – https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
Citizen Lab: «Exposing AdFection Executive Summary», 15.10.2026 – https://citizenlab.ca/research/exposing-adfection-executive-summary/
Eskimi: svar til Citizen Lab, 14.10.2026 – https://citizenlab.ca/wp-content/uploads/2026/10/Eskimi-Response-to-Request-for-Comment.pdf
Confiant: «ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity Vacuuming», 15.10.2026 – https://blog.confiant.com/p/adint-weaponized-ad-tech-for-zero-click-spyware-and-mass-identity-vacuuming
NSM: Aktuelt (sjekket 16.10.2026) – https://nsm.no/aktuelt
Sitater og opplysninger er også hentet fra Wired, Reuters og TechCrunch (alle 15.10.2026).
Bilde: Foto: bohed / Pixabay via Wikimedia Commons (CC0). Original: https://commons.wikimedia.org/wiki/File:Smartphone_Use.jpg
Artikkelen er utarbeidet med teknisk assistanse og kontrollert før publisering.
