Citizen Lab, de onderzoeksafdeling voor digitale rechten aan de Universiteit van Toronto, zegt bewijs te hebben gevonden dat tientallen apparaten bij de mediaorganisatie Al Jazeera zijn gehackt nadat hen kwaadaardige online advertenties werden getoond. De bevinding, gerapporteerd door TechCrunch op 15 oktober 2026, wijst op een zorgwekkende ontwikkeling: zero-click spyware kwaadaardige advertenties kunnen nu dienen als een leveringsroute naar de telefoon of computer van een doelwit, zonder dat de persoon iets aanraakt.

De openbare samenvatting is kort, dus deze post houdt zich aan wat er is gerapporteerd en legt de algemene mechanismen en verdedigingen uit die beveiligingsonderzoekers gewoonlijk beschrijven.

Wat Citizen Lab aantrof bij Al Jazeera

Volgens het rapport vond Citizen Lab bewijs dat tientallen apparaten bij Al Jazeera waren gecompromitteerd nadat de mensen die ze gebruikten kwaadaardige online advertenties te zien kregen. De hoofdbewering is dat overheden online advertenties misbruiken om zero-click spyware te leveren, dat wil zeggen spyware die een apparaat infecteert zonder dat het slachtoffer een bestand opent of op een link klikt.

De bron samenvatting noemt niet de spyware-leverancier, de specifieke advertentienetwerken die erbij betrokken zijn, of de exacte kwetsbaarheden die zijn gebruikt, en wij zullen er niet naar gokken. Wat het wel vaststelt is het doelwit: een grote mediaorganisatie, waar medewerkers routinematig met gevoelige bronnen en informatie omgaan. Het woord "naar verluidt" is hier ook van belang. Dit zijn bevindingen van een onderzoeksgroep, en details kunnen naar voren komen naarmate er meer wordt gepubliceerd.

Hoe een kwaadaardige advertentie een telefoon kan hacken zonder een klik

Een traditionele aanval vereist dat je iets doet: een bijlage openen, op een link tikken, een app installeren. Een zero-click aanval verwijdert die stap. Het vertrouwt op een fout in software die automatisch inhoud verwerkt, zoals een browser of app die een afbeelding, video of webpagina weergeeft. Als de inhoud is gemaakt om die fout te misbruiken, kan kwaadaardige code worden uitgevoerd tijdens normale werking.

Online advertenties passen ongemakkelijk goed in dit model. Advertenties worden automatisch geladen wanneer een pagina of app opent, vaak vanaf servers van derden die de uitgever niet direct controleert. Een aanvaller die een kwaadaardige advertentie voor een gekozen persoon kan plaatsen, zou in principe een kwetsbaarheid kunnen activeren in de software die deze weergeeft. Advertentietargetingtools, die bestaan om specifieke doelgroepen te selecteren, zouden kunnen helpen bij het beperken van de levering tot het beoogde slachtoffer.

Het belangrijkste punt is dat de persoon niets verkeerd deed. Het tonen van de advertentie was voldoende, volgens de gerapporteerde bevindingen van Citizen Lab.

Waarom journalisten en gewone gebruikers beide blootgesteld zijn

Journalisten zijn een voor de hand liggend doelwit. Nieuwsredacties beheren vertrouwelijke contacten, ongepubliceerd materiaal en locatiegegevens die overheden mogelijk willen. Een aanval die via advertenties werkt, verwijdert de noodzaak voor een overtuigend phishing-bericht, dat medewerkers vaak zijn getraind om te herkennen.

Maar het leveringskanaal is niet beperkt tot nieuwsredacties. Advertenties bereiken bijna iedereen die het web browst of gratis apps gebruikt. Zeer gerichte spyware is doorgaans duur en gericht op specifieke individuen, dus de meeste mensen zullen waarschijnlijk niet het beoogde slachtoffer zijn. Toch bedient dezelfde advertentie-infrastructuur iedereen, en zwakke punten in hoe apparaten webinhoud verwerken, treffen alle gebruikers totdat ze zijn gepatcht. Activisten, advocaten, onderzoekers en anderen die de interesse van de overheid zouden kunnen wekken, moeten zichzelf als onderdeel van de risicogroep beschouwen, niet alleen verslaggevers.

Wat risico daadwerkelijk vermindert (en wat een VPN niet kan doen)

Het is de moeite waard om direct te zijn: een VPN alleen beschermt niet tegen dit soort aanvallen. Een VPN versleutelt je verkeer tussen je apparaat en de VPN-server en verbergt je IP-adres voor de sites die je bezoekt. Het stopt een apparaat er niet van om een kwaadaardige advertentie weer te geven, en het lost een softwarekwetsbaarheid niet op. Als een exploit wordt geleverd in inhoud die je apparaat laadt, draagt de tunnel het eenvoudigweg.

Maatregelen die het daadwerkelijke aanvalspad aanpakken, zijn onder meer:

  • Werk je besturingssysteem en browser snel bij. Zero-click aanvallen zijn afhankelijk van ongepatchte of onbekende fouten. Het snel installeren van beveiligingsupdates sluit bekende gaten.
  • Gebruik inhouds- of advertentieblokkering. Als de advertentie nooit wordt geladen, kan deze de exploit niet leveren. Blokkeerders op browser- of netwerkniveau verminderen de blootstelling aan advertentieservers van derden.
  • Schakel Lockdown Mode in waar beschikbaar. Apple's Lockdown Mode is ontworpen voor mensen met een verhoogd risico en vermindert het aanvalsoppervlak door bepaalde web- en berichtenfuncties te beperken.
  • Herstart apparaten regelmatig en verminder geïnstalleerde apps. Minder apps betekent minder advertentieleverende componenten en minder plaatsen waar fouten zich kunnen verbergen.

Wat dit voor jou betekent

Voor de meeste lezers is het realistische risico om persoonlijk het doelwit te zijn van spyware van overheidsniveau laag, maar de les is breed van toepassing: privacy-tools werken aan specifieke problemen, en geen enkel hulpmiddel dekt alles. Een VPN helpt bij netwerkprivacy. Het is geen verdediging tegen exploits. Als je met gevoelige bronnen werkt of reden hebt om te denken dat je een doelwit zou kunnen zijn, beschouw het harden van apparaten en advertentieblokkering dan als essentieel, en overweeg de strengere modi die je telefoon biedt.

Het werk van Citizen Lab voedt ook een breder beleidsdebat. Als je meer wilt over het onderzoek van de groep en het debat over surveillance en encryptie, lees dan onze berichtgeving over hoe Citizen Lab encryptierisico's in Canada's Bill C-22 signaleert.

Belangrijkste punten

De bevindingen van Al Jazeera tonen aan dat zero-click spyware kwaadaardige advertenties een echte leveringsmethode zijn, niet alleen een theoretische. Je kunt niet controleren welke advertenties worden getoond, maar je kunt wel controleren hoe blootgesteld je apparaat is. Installeer OS- en browserupdates zodra ze binnenkomen, gebruik een advertentie- of inhoudsblokkeerder, en schakel Lockdown Mode in als je een hoger risico loopt. Blijf een VPN gebruiken als dat bij je behoeften past, maar vertrouw er niet op om een aanval te stoppen die binnenkomt via de inhoud die je apparaat laadt. Voor de bredere context over het werk van Citizen Lab en het surveillance-debat, zie ons stuk over Bill C-22 en encryptierisico's.