Citizen Lab, Toronton yliopiston digitaalisten oikeuksien tutkimusyksikkö, kertoo löytäneensä todisteita siitä, että kymmeniä laitteita mediayhteisö Al Jazeerassa vaarannettiin, kun niiden käyttäjille näytettiin haitallisia verkkomainoksia. Havainto, josta TechCrunch uutisoi 15. lokakuuta 2026, viittaa huolestuttavaan kehitykseen: nollaklikkaus-vakoiluohjelmat – haitalliset mainokset – voivat nyt toimia toimitusreittinä kohteen puhelimeen tai tietokoneeseen ilman, että henkilö napauttaa mitään.

Julkinen yhteenveto on lyhyt, joten tämä kirjoitus pitäytyy siinä, mitä on raportoitu, ja selittää yleiset mekanismit ja puolustuskeinot, joita tietoturvatutkijat tavallisesti kuvaavat.

Mitä Citizen Lab löysi Al Jazeerasta

Raportin mukaan Citizen Lab löysi todisteita siitä, että kymmeniä laitteita Al Jazeerassa vaarannettiin sen jälkeen, kun niiden käyttäjille näytettiin haitallisia verkkomainoksia. Keskeinen väite on, että hallitukset väärinkäyttävät verkkomainontaa toimittaakseen nollaklikkaus-vakoiluohjelmia, eli vakoiluohjelmia, jotka tartuttavat laitteen ilman, että uhri avaa tiedoston tai klikkaa linkkiä.

Lähdeyhteenveto ei nimeä vakoiluohjelman toimittajaa, kyseessä olevia mainosverkostoja tai käytettyjä haavoittuvuuksia, emmekä arvaile niitä. Se kuitenkin vahvistaa kohteen: merkittävän mediayhteisön, jossa henkilöstö käsittelee rutiininomaisesti arkaluontoisia lähteitä ja tietoja. Sana "väitetysti" on tässä myös tärkeä. Nämä ovat tutkimusryhmän havaintoja, ja yksityiskohtia voi tulla esiin sitä mukaa kun niistä julkaistaan lisää.

Miten haitallinen mainos voi hakkeroida puhelimen ilman klikkausta

Perinteinen hyökkäys vaatii sinua tekemään jotain: avaamaan liitteen, napauttamaan linkkiä, asentamaan sovelluksen. Nollaklikkaushyökkäys poistaa tuon vaiheen. Se nojautuu ohjelmiston puutteeseen, joka käsittelee sisältöä automaattisesti, kuten selain tai sovellus, joka renderöi kuvan, videon tai verkkosivun. Jos sisältö on rakennettu hyödyntämään tuota puutetta, haitallinen koodi voi suorittua normaalin toiminnan aikana.

Verkkomainokset sopivat tähän malliin kiusallisen hyvin. Mainokset ladataan automaattisesti, kun sivu tai sovellus avautuu, usein kolmannen osapuolen palvelimilta, joita julkaisija ei suoraan hallitse. Hyökkääjä, joka pystyy asettamaan haitallisen mainoksen valitun henkilön eteen, voisi periaatteessa laukaista haavoittuvuuden ohjelmistossa, joka näyttää sen. Mainosten kohdennustyökalut, jotka ovat olemassa tiettyjen yleisöjen valitsemiseksi, voivat auttaa rajaamaan toimituksen aiottuun uhriin.

Keskeinen pointti on, että henkilö ei tehnyt mitään väärää. Mainoksen näyttäminen riitti Citizen Labin raportoitujen havaintojen mukaan.

Miksi toimittajat ja tavalliset käyttäjät ovat molemmat alttiita

Toimittajat ovat ilmeinen kohde. Uutishuoneissa on luottamuksellisia kontakteja, julkaisematonta materiaalia ja sijaintitietoja, joita hallitukset saattavat haluta. Mainosten kautta toimiva hyökkäys poistaa tarpeen vakuuttavalle tietojenkalasteluviestille, jonka henkilöstö on usein koulutettu tunnistamaan.

Toimituskanava ei kuitenkaan rajoitu uutishuoneisiin. Mainokset tavoittavat lähes kaikki, jotka selaavat verkkoa tai käyttävät ilmaisia sovelluksia. Voimakkaasti kohdennettu vakoiluohjelma on tyypillisesti kallista ja suunnattu tiettyihin henkilöihin, joten useimmat ihmiset eivät todennäköisesti ole aiottu uhri. Silti sama mainosinfrastruktuuri palvelee kaikkia, ja laitteiden heikkoudet verkkosisällön käsittelyssä vaikuttavat kaikkiin käyttäjiin, kunnes ne korjataan. Aktivistien, lakimiesten, tutkijoiden ja muiden, jotka saattavat herättää hallitusten kiinnostusta, kannattaa pitää itseään osana riskiryhmää, ei vain toimittajia.

Mikä todella vähentää riskiä (ja mitä VPN ei voi tehdä)

Kannattaa olla suorapuheinen: pelkkä VPN ei suojaa tämänkaltaiselta hyökkäykseltä. VPN salaa liikenteesi laitteesi ja VPN-palvelimen välillä ja piilottaa IP-osoitteesi vierailemiltasi sivustoilta. Se ei estä laitetta renderöimästä haitallista mainosta, eikä se korjaa ohjelmistohaavoittuvuutta. Jos haavoittuvuuden hyödyntäminen toimitetaan sisällössä, jonka laitteesi lataa, tunneli yksinkertaisesti kuljettaa sen.

Toimenpiteet, jotka puuttuvat varsinaiseen hyökkäysreittiin, ovat muun muassa:

  • Päivitä käyttöjärjestelmäsi ja selaimesi viipymättä. Nollaklikkaushyökkäykset riippuvat korjaamattomista tai tuntemattomista puutteista. Tietoturvapäivitysten asentaminen nopeasti sulkee tunnetut aukot.
  • Käytä sisällön tai mainosten estoa. Jos mainos ei koskaan lataudu, se ei voi toimittaa haavoittuvuuden hyödyntämistä. Estotyökalut selaimen tai verkon tasolla vähentävät altistumista kolmannen osapuolen mainospalvelimille.
  • Ota Lockdown-tila käyttöön, missä se on saatavilla. Applen Lockdown-tila on suunniteltu henkilöille, joilla on kohonnut riski, ja se pienentää hyökkäyspintaa rajoittamalla tiettyjä verkko- ja viestintätoimintoja.
  • Käynnistä laitteet säännöllisesti uudelleen ja vähennä asennettuja sovelluksia. Vähemmän sovelluksia tarkoittaa vähemmän mainoksia tarjoavia komponentteja ja vähemmän paikkoja, joihin puutteet voivat piiloutua.

Mitä tämä tarkoittaa sinulle

Useimmille lukijoille realistinen riski joutua henkilökohtaisesti valtiollisen tason vakoiluohjelman kohteeksi on pieni, mutta opetus pätee laajasti: tietosuojatyökalut toimivat tiettyihin ongelmiin, eikä yksikään työkalu kata kaikkea. VPN auttaa verkon yksityisyydessä. Se ei ole puolustus haavoittuvuuksien hyödyntämistä vastaan. Jos työskentelet arkaluontoisten lähteiden kanssa tai sinulla on syytä uskoa, että voisit olla kohde, pidä laitteen koventamista ja mainosten estoa olennaisina ja harkitse puhelimesi tarjoamia tiukempia tiloja.

Citizen Labin työ ruokkii myös laajempaa politiikkakeskustelua. Jos haluat lisätietoja ryhmän tutkimuksesta ja väittelystä valvonnasta ja salauksesta, lue juttumme siitä, miten Citizen Lab nostaa esiin salausriskejä Kanadan lakiesityksessä C-22.

Keskeiset johtopäätökset

Al Jazeeran havainnot osoittavat, että nollaklikkaus-vakoiluohjelmat – haitalliset mainokset – ovat todellinen toimitusmenetelmä, ei vain teoreettinen. Et voi hallita, mitä mainoksia näytetään, mutta voit hallita sitä, miten altis laitteesi on. Asenna käyttöjärjestelmän ja selaimen päivitykset heti kun ne saapuvat, käytä mainos- tai sisällönestoa ja kytke Lockdown-tila päälle, jos olet kohonneessa riskissä. Jatka VPN:n käyttöä, jos se sopii tarpeisiisi, mutta älä luota siihen hyökkäyksen pysäyttämisessä, joka saapuu laitteesi lataaman sisällön kautta. Laajemmasta kontekstista Citizen Labin työhön ja valvontakeskusteluun katso juttumme lakiesityksestä C-22 ja salausriskeistä.