Annonser knyttet til spionprogram nådde Stortingets og politiets nettverk

En nettannonse kan inneholde mer enn et bilde. Den kan også inneholde kode, og forskere ved Citizen Lab ved University of Toronto har nå vist hvordan slik kode brukes til å installere spionvare på en utvalgt persons enhet uten at vedkommende trykker på noe. Laboratoriet kaller teknikken AdFection. Den som ble hacket på denne måten, «ville ikke sett noe mistenkelig», sa seniorforsker Bill Marczak til Wired. «Faktisk ville vedkommende kanskje ikke engang sett noen annonse.»

Det er viktig for alle som har en telefon full av gratisapper. Nullklikksangrep har for det meste utnyttet sårbarheter i meldingsapper, som selskapene kan rette opp. Dette angrepet brukte derimot den vanlige mekanismen som avgjør hvilken annonse du får se: en auksjon som gjennomføres på brøkdelen av et sekund hver gang en app eller nettside lastes inn, og som allerede sender videre enhetens annonse-ID, IP-adresse og opplysninger om telefonen din.

Sentral i saken står Discover-Tech, et Israel-registrert selskap som utga seg for å være et reklamefirma. Ifølge rapporten lot plattformen deres, Controlium, kundene velge ut ett bestemt mål ved hjelp av annonse-ID, nettleserinformasjonskapsel eller IP-adresse og sende kode til enheten i det øyeblikket en annonse ble vist. Alle andre fikk en vanlig annonse. Citizen Lab knytter med stor sikkerhet en rekke angrep mot nyhetskanalen Al Jazeera til Candiru, et spionvareselskap som nå kaller seg Integrity Labs. Minst 45 enheter hos kringkasteren ble utsatt for angrep, og en infisert Windows-datamaskin ga fra seg en fil som pekte mot Candirus servere.

Hvordan forskerne kom seg inn, er nesten komisk. Innloggingssiden til Controlium leverte hele kildekoden til sitt eget kontrollpanel, så teamet lagret siden, fjernet koblingene til eksterne servere og åpnet alle skjermbildene. En Discover-Tech-server hadde også gjort nærmere fire milliarder annonsebud tilgjengelige for alle. Dataene viser annonser med angripernes skript-tag vist i 75 373 Android- og iOS-apper og på 120 768 nettsteder. Her dukker også kjente navn opp: Viber, meldingstjenesten, viste over 700 000 av disse annonsene på Android. De dukket også opp i Yahoo Mail, Opera Mini og Duolingo.

Disse tallene må tolkes med varsomhet. At en Discover-Tech-annonse vises på skjermen din, betyr ikke at telefonen din er hacket, understreker laboratoriet. I de fleste tilfellene sendte serveren deres ingen kode tilbake, og buddataene dekker bare én av selskapets annonseplattformer over en periode på fire måneder. Citizen Lab har ikke opplyst hvilke regjeringer som betalte for operasjonen mot Al Jazeera. At annonsene nådde nettverk hos NATO, FN og flere europeiske institusjoner, viser hvor langt de ble spredt, ikke at enheter der faktisk ble infisert. I Norge nådde annonsene nettverkene til Stortinget og politiet; i Sverige nettverkene til forsvaret og den nasjonale nettoperatøren. Tiltakene vanlige folk kan bruke, er lite finmaskede. Marczaks råd til alle som kan være mål «på grunn av hvem du er eller hva du gjør», er å slå av annonsesporing eller blokkere annonser helt.

Annonsebransjen har begynt å reagere. Google sier at de stengte Discover-Tech ute fra annonseplattformene sine etter en felles granskning med Citizen Lab og sikkerhetsselskapet Confiant, og at de la til advarsler i Safe Browsing for nettsteder med tilknytning til gruppen. IAB Europe suspenderte selskapet fra listen over godkjente annonseleverandører, og Beeswax, som eies av Comcast, fjernet det fra plattformen sin. Discover-Tech svarte ikke på henvendelser fra Wired eller TechCrunch.

Citizen Lab publiserte rapporten 15. oktober 2026. Den dekker angrepene mot Al Jazeera i 2024 og 2025, samt buddata fra mars til juni 2026. En rapport nummer to er på vei. Den handler om en separat gruppe laboratoriet kaller DARK CARTOGRAPHER, som ifølge rapporten brukte den samme infrastrukturen til å koble telefoners annonse-ID-er til telefonnumrene deres ved å utnytte svakheter hos mobiloperatører i mer enn 30 land.

Marczak omtaler Discover-Tech som «sikkert bare toppen av isfjellet». Teamet hans trengte ikke lete lenge etter annonsene. De dukket opp på forskernes egne skjermer mens de leste på CBCs og Yahoos nettsteder og spilte Sudoku på Android.

Tagger: datasikkerhet, AdFection, annonser, Candiru, Citizen Lab, Discover-Tech