Forskere har dokumentert et tilfelle av nullklikks annonsespionasje som journalister møtte i 2024, og det endrer hvordan vi tenker om risikoen ved vanlig nettsurfing. Al Jazeera og Citizen Lab har begge publisert funn om en kampanje de kaller «AdFection», der leiesoldat-spionasje ble levert gjennom nettreklame. Det var ikke nødvendig med et trykk, en nedlasting eller en mistenkelig lenke.

Spørsmålet om hvem som til syvende og sist var målrettet mot journalistene, er fortsatt ubesvart. Det forskerne sier de vet, er hvem som tilrettela angrepene: to israelske selskaper, hvorav ett har stått på USAs svarteliste i rundt fem år.

Hvordan AdFection leverte nullklikks annonsespionasje til journalister

Et nullklikks-angrep er et angrep som ikke krever noen handling fra offeret. Tradisjonell phishing er avhengig av at du åpner et vedlegg eller trykker på en lenke. Her var leveringskanalen selve annonseøkosystemet. Annonser lastes automatisk hver gang en side lastes, så en ondsinnet annonse kan nå en enhet rett og slett fordi noen besøkte et nettsted.

Det er det som gjør teknikken urovekkende. Annonsenettverket, som de fleste lesere aldri tenker på, blir veien spionasjen reiser på. Målrettet reklame er bygget for å plukke ut spesifikke målgrupper, og den samme presisjonen som lar et merkevare nå en bestemt demografisk gruppe, kan i teorien la en angriper nå en bestemt person.

Offentlig rapportering om forskningen navngir et annonseselskap kalt Discover-Tech og beskriver spionasjeprodusenter som bruker det for å nå enheter. Disse detaljene kommer fra sekundær dekning av Citizen Lab-rapporten, så sjekk primærfunnene for den nøyaktige tekniske beskrivelsen før du stoler på dem.

Hva Citizen Lab og Al Jazeera fant

Begge organisasjonene publiserte egne funn. Al Jazeeras journalister var blant dem som ble rammet, og Citizen Lab, forskningsgruppen ved University of Toronto kjent for å etterforske kommersiell spionasje, analyserte kampanjen og ga den navnet AdFection. Vår tidligere dekning av Citizen Labs funn om at nullklikks-annonser infiserte journalisters enheter går gjennom rapporten i mer detalj.

To punkter skiller seg ut fra rapporteringen:

  • Attribusjon er ufullstendig. Forskerne identifiserte tilretteleggerne, men ikke klienten som valgte målene. Det er typisk for markedet for leiesoldat-spionasje, der selskapet som bygger verktøyene og parten som bruker dem ofte er forskjellige.
  • Et svartelistet selskap var involvert. Ett av de to israelske firmaene har stått på USAs svarteliste i omtrent et halvt tiår. Det reiser vanskelige spørsmål om hvordan et slikt selskap forblir koblet til kommersiell infrastruktur og den bredere annonsestrømmen.

Sekundær dekning har også beskrevet saken som det første offentlig bekreftede tilfellet av nullklikks leiesoldat-spionasje levert gjennom målrettet reklame. Behandle den rammen som andres karakterisering av Citizen Labs arbeid, og konsulter den originale rapporten for dens presise påstander.

Hvorfor journalister og aktivister er mål

Leiesoldat-spionasje selges som et overvåkingsverktøy, og journalister er et gjentakende mål fordi de sitter på det andre vil ha: kilder, upublisert materiale og private kommunikasjoner. En kompromittert telefon kan avsløre kontakter, meldinger, posisjon og mikrofontilgang. For en reporter som arbeider med sensitive saker, kan én infeksjon sette kilder i fare, ikke bare journalisten.

AdFection-saken viser også hvorfor trusselen ikke er strengt begrenset til journalister. Leveringsmetoden er avhengig av infrastruktur som alle bruker. Selv om en bestemt person ble valgt som mål, betjener det samme annonsesystemet allmennheten. De fleste lesere er lite sannsynlig å være et prioritert mål for denne typen verktøy, men saken viser at mekanismen eksisterer.

Hva dette betyr for deg

For de fleste er den praktiske risikoen for å bli plukket ut av leiesoldat-spionasje lav. Likevel er funnene en påminnelse om at det å ikke klikke på noe ikke betyr at du er trygg, og at vanlige nettannonser kan være et angrepsflate. Hvis du er journalist, aktivist, advokat eller noen som håndterer sensitiv informasjon, ta dette mer alvorlig.

Det er også verdt å være ærlig om VPN-er. En VPN krypterer trafikken din mellom enheten din og VPN-serveren og skjuler IP-adressen din fra nettstedene du besøker. Den hindrer ikke en ondsinnet annonse i å lastes i nettleseren din, og den tetter ikke en sårbarhet på telefonen din. En VPN alene beskytter ikke mot denne typen angrep. Den er fortsatt nyttig for andre personvernmål, men den er ikke et forsvar her.

Hva lesere kan gjøre

Ingen enkeltstående handling eliminerer risikoen, men lagdelte tiltak reduserer den betydelig:

  • Oppdater operativsystemet og nettleseren raskt. Spionasje som dette er vanligvis avhengig av programvarefeil, og oppdateringer tetter dem.
  • Slå på Lockdown Mode hvis du er i høyere risiko. Apples Lockdown Mode er utformet for å krympe angrepsflaten for personer som kan bli mål. Android-brukere kan se etter tilsvarende avanserte beskyttelsesinnstillinger.
  • Bruk en annonseblokkerer. Hvis leveringskanalen er en annonse, fjerner blokkering av annonser på nettleser- eller DNS-nivå mye av eksponeringen.
  • Start enheten på nytt regelmessig. Noen infeksjoner overlever ikke en omstart, noe som kan tvinge angripere til å begynne på nytt.
  • Reduser hva som kjører i nettleseren. Færre utvidelser og et minimalt sett med apper senker antallet steder en angriper kan utnytte.
  • Søk eksperthjelp hvis du mistenker infeksjon. Organisasjoner som støtter utsatte grupper kan hjelpe med kriminaltekniske kontroller.

Viktige punkter

AdFection-saken viser at nullklikks annonsespionasje som journalister møtte i 2024, ble levert gjennom det samme annonsesystemet som betjener alle andre. Angriperen er fortsatt uidentifisert, men to israelske selskaper er blitt knyttet til å tilrettelegge det. Hold enhetene oppdatert, vurder Lockdown Mode hvis du står i forhøyet risiko, og blokker annonser der du kan. For de fullstendige detaljene, les vårt sammendrag av Citizen Labs rapport om nullklikks-annonser og journalister, og følg deretter primærfunnene fra Citizen Lab og Al Jazeera. Og husk at en VPN, selv om den er nyttig, ikke er et skjold mot denne typen angrep.