Sebastian Juul
En ny angrebstype gør det nok at få vist en helt almindelig onlinereklame før telefonen bliver inficeret.
Teknikken er døbt AdFection, og den er dokumenteret for første gang i en teknisk rapport fra forskningscentret Citizen Lab ved University of Toronto, offentliggjort 15. oktober 2026.
Rapporten viser, at det israelske firma Discover-Tech i rollen som helt almindelig reklameleverandør har kanaliseret spyware ud via målrettede annoncer, der ikke kræver noget klik fra brugeren. I samme øjeblik annoncen loader på skærmen, kan systemet identificere apparatet og i stilhed sende det videre til infrastruktur, der leverer selve angrebet.
Sådan virker angrebet uden klik
Discover-Tech kører en platform ved navn Controlium, der ifølge Citizen Lab kan afsløre og fingerprinte en enhed, mens annoncen vises, og vurdere om apparatet matcher en bestemt målprofil. Rammer profilen plet, bliver enheden omdirigeret til servere, der leverer spyware fra det israelske overvågningsfirma Candiru.
Selve reklamen indeholder altså ingen skadelig kode, hvilket er grunden til, at de store annoncenetværk ikke har opdaget misbruget. Angrebet rammer både smartphones og pc’er på tværs af browsere og apps.
Teknikken er den første offentligt dokumenterede af sin art. Citizen Lab kalder den et “pipeline for zero-click mercenary spyware” og peger på, at hele annoncesystemets opbygning gjorde misbruget muligt.
Mindst 45 enheder hos Al Jazeera ramt
Den konkrete sag, der afslørede teknikken, udspillede sig hos tv-stationen Al Jazeera. Her blev mindst 45 enheder inficeret med Candirus spyware i 2024 og 2025 via annoncer leveret af Discover-Tech.
Omfanget af reklamenetværket er bredere. Mellem marts og juni 2026 analyserede forskerne knap fire milliarder budposter fra Discover-Tech, og annoncerne blev vist i omkring 75.373 Android- og iOS-apps og omkring 120.768 hjemmesider fordelt på 161 lande. Hvor stor en andel af de visninger, der reelt resulterede i et spyware-angreb, er stadig uafklaret, men infrastrukturen var ifølge rapporten på plads overalt.
Jerome Dangu, teknisk direktør og medstifter af sikkerhedsfirmaet Confiant, siger til CyberScoop, at hele branchen må gentænke sin rolle: “Reklamebranchen, den digitale annonceringsindustri, har en masse at tænke over og må genoverveje, hvordan de håndterer disse overvågningstrusler og det ansvar, de har.”
Google og IAB Europe skærer forbindelsen
Efter at Citizen Lab delte fundene med branchen, har Google fjernet Discover-Tech fra sine leverandørregistre og lukket adgangen til koncernens annoncebørser. IAB Europe har suspenderet firmaet fra sin globale leverandørliste efter en revision, der ifølge brancheorganisationen fandt brud på reglerne. Også annoncetjenesterne Beeswax, Vungle og Eskimi har afbrudt samarbejdet.
Discover-Tech, der blev registreret som selskab i 2020, har ifølge Citizen Lab ikke besvaret henvendelser om sagen. Forskerne har ikke peget på en konkret kunde bag angrebene mod Al Jazeera.
Hvad du selv kan gøre
Den normale regel om bare at lade være med at klikke på mistænkelige links beskytter ikke mod en teknik som AdFection, hvor selve visningen af annoncen er angrebet. Men enkelte skridt gør det sværere at ramme din enhed præcist.
Sørg for løbende at opdatere styresystem, browser og apps, så kendte browser-sårbarheder ikke står åbne. På både Android og iOS kan man nulstille sit reklame-id i privatlivsindstillingerne, hvilket vanskeliggør den profilbygning, teknikken bygger på. Slå personaliserede annoncer fra, hvor du kan, og brug en pålidelig annonceblokker i browseren. På mere følsomme enheder anbefaler sikkerhedsforskerne i rapporten egentlig browser-isolation og strammere kontrol med tredjeparts-scripts.
Citizen Lab har sammen med rapporten offentliggjort tekniske indikatorer, så it-afdelinger kan søge i deres logs efter kontakt til Discover-Techs og Candirus infrastruktur.
