En annons på din skärm kan vara startskottet för ett spionangrepp – utan att du behöver klicka på någonting.
I rapporten ”Exposing AdFection”, som publicerades förra veckan, visar forskare vid Citizen Lab på University of Toronto hur nätannonser använts för att samla in uppgifter om användare och rikta spionangrepp mot dem. Bakom metoden står det israeliska företaget Discover-Tech, som har hjälpt företag som säljer spionprogram att nå sina måltavlor via annonser.
Citizen Lab är en forskningsgrupp som granskar hur digital teknik påverkar mänskliga rättigheter och global säkerhet. Gruppen har bland annat avslöjat hur spionprogrammet Pegasus användes för att hacka människorättsförsvarares mobiltelefoner.
Journalisters datorer hackades
Hos mediebolaget Al Jazeera har spionprogram installerats på enheter genom nätannonser, enligt Citizen Lab. Minst 45 enheter utsattes för angrepp under 2024 och 2025.
Något som i dagarna fördömts av bland andra pressfrihetsorganisationerna Reportrar utan gränser och Committee to Protect Journalists, CPJ.
– Övervakningsprogrammen kommer nu direkt in i ens lur utan att man ens klickar på en länk, vilket gör det svårt att skydda sig som journalist. Det här påminner om Pegasus, som skakade om branschen rejält för några år sedan. Det visar att medier är måltavlor och behöver ett starkare digitalt skydd, säger Erik Larsson, talesperson för pressfrihetsorganisationen Reportrar utan Gränser Sverige och tillägger:
– Det är viktigt att myndigheter och civilsamhället ser farorna med det här, eftersom så stor del av vårt liv finns i våra telefoner. Journalister i dag är oerhört sårbara.
”Sannolikt en stat som ligger bakom attacken”
Genom att analysera nätverksloggar och ett spionprogram från en infekterad enhet kunde forskarna med hög säkerhet koppla angreppen till Discover-Techs annonser och spionprogramsleverantören Candiru, som numera verkar under namnet Integrity Labs.
Vem som beställde angreppen fastställs dock inte i rapporten.
– Det är sannolikt en stat som ligger bakom attacken. Verktygen kommer dock från företag: ett som gjort spyware-programmet, och ett som levererar annonserna. Vilken stat vet man inte i dagsläget, säger Björn Jeffery, techexpert på Svenska Dagbladet till Göteborgs-Posten och fortsätter:
– Det är ovanligt att man inte ens behöver klicka på en länk för att bli exponerad. Och det tycks vara första gången det bevisats att man har använt sig av annonsnätverk på vanliga webbsidor och appar för att försöka nå sina måltavlor.
Svenska företag och myndigheter i rapporten
Annonsvisningar identifierades också på nätverk tillhörande Nato, FN och flera EU-institutioner.
Granskningen har även flera svenska kopplingar.
Forskarna har identifierat annonsvisningar på nätverk tillhörande myndigheter som Försvarsmakten, Svenska kraftnät, Vinnova, SMHI men också Chalmers universitet och stora företag som Vattenfall, Volvo och Saab nämns i rapporten.
Dessutom förekommer nätverk tillhörande tre svenska medieorganisationer. Vilka har GP försökt ta reda på, men ännu inte fått svar om.
– Det enda bekräftade målet är än så länge Al Jazeera. Annonserna har visats för en rad svenska företag och institutioner, men det betyder inte att de blivit hackade, säger Björn Jeffrey.
Netnod har sökt efter spår
Hos Netnod, som driver kritisk internetinfrastruktur i Sverige, har man efter rapporten sökt efter kända tekniska spår och kontaktat externa säkerhetsföretag. Hittills har bolaget inte hittat några tecken på att dess enheter infekterats.
Patrik Fältström, säkerhetsexpert på Netnod, beskriver förloppet i tre steg:
– Det första är som en jättelik håv som kastas över organisationer och företag runtom i världen. Det andra är att man blir utvald som användare. Det tredje är att den här spywaren har installerats på ens enhet.
Han är kritisk till att Citizen Lab inte kontaktade Netnod före publiceringen, och säger att de kontaktat rapportförfattarna men inte fått svar. Enligt honom begränsar bristen på information möjligheten att undersöka saken vidare.
– Det som irriterar mig är att de inte svarar på mejl när vi frågar varför Netnods namn finns där. Då kan varken de som tittar på internettrafiken i Sverige eller vi på Netnod göra noggrannare undersökningar, säger han.
Samtidigt välkomnar Patrik Fältström rapporten, och beskrivningen av hur annonser kan användas för kartläggning. Att annonsdata kan utnyttjas för att spåra människor är sedan länge känt bland säkerhetsexperter, framhåller han.
– Vill man ha reda på saker och ting om personer köper man annonsdata som de här annonsbolagen har samlat in. Det är inte alls något nytt.
Svenska kraftnät uppger att myndigheten känner till rapporten och hanterar frågan inom sin säkerhetsorganisation.
”Av säkerhetsskäl kommenterar vi inte detaljer kring eventuella skyddsåtgärder”, skriver myndighetens pressavdelning till GP.
Även SMHI undersöker vad som framkommit i rapporten.
– Vi ser såklart allvarligt på den här typen av cyberhot och följer utvecklingen. Vi jobbar kontinuerligt med att övervaka och säkerställa att vår miljö inte påverkas eller drabbas, säger Johan Ahlmark, IT-chef på SMHI.
Han berättar att myndigheten har drygt 650 medarbetare och att i princip alla har en egen laptop och telefon som är uppkopplade på nätverket.
– Det blir väl runt 1 500 enheter kanske, som skulle kunna vara påverkade eller drabbade av just den här typen av cyberhot. Men vi har rutiner på plats för att upptäcka om vi blir påverkade på något sätt.
Göteborgs-Posten har sökt Försvarsmakten, som sagt att de ska återkomma.
FAKTA: Så fungerar metoden
När en annons ska visas i en app eller på en webbplats hålls ofta en automatisk auktion. Annonsörer budar om att få visa sin annons för just den användaren.
Discover-Techs system kan välja ut en mobil eller dator med hjälp av bland annat IP-adresser och identifierare som används för riktad reklam. När annonsen laddas kan den hämta kod som kartlägger enheten. För utvalda enheter kan det leda vidare till ett angrepp med spionprogram.
Forskarna kallar metoden ”AdFection”. Användaren behöver inte klicka eller göra något annat för att angreppet ska börja. Därför kallas det ett ”zero-click”-angrepp.
Google och IAB har blockerat bolaget
Efter en gemensam utredning med Citizen Lab har Google blockerat Discover-Tech från sina annonsplattformar.
”Vi har även infört Safe Browsing-varningar för att bidra till att skydda personer som navigerar till webbplatser kopplade till den här gruppen”, skriver en talesperson för Google till GP.
Discover-Tech har också tagits bort från listan över registrerade leverantörer i IAB Europes system för samtycke till datainsamling, uppger Kenneth Danielsson, vd på branschorganisationen IAB Sverige.
Han anser att branschen behöver se över sina kontroller.
– Nu ligger det på bland annat IAB Europe att se över de processer som gör att den här nya tekniken inte kan användas. Man måste jobba med det, även om vi inte är en brottsbekämpande organisation, säger han.
Göteborgs-Posten har sökt Discover-Tech som inte återkommit med kommentarer.