Nasjonalt CERT har sendt ut en advarsel om at spyware kan infisere telefoner gjennom nettannonser uten at brukeren klikker på noe som helst. Teknikken kalles AdFection, og nullklikks annonsespyware-modellen AdFection er viktig fordi den fjerner det ene forsvaret folk flest stoler på: å ikke trykke på mistenkelige ting. Dette innlegget forklarer hva som er kjent, hvordan denne typen angrep fungerer, og hvor en VPN passer inn.

Hva Nasjonalt CERT varsler om

I følge rapporten om advarselen sier Nasjonalt CERT at en telefon kan kompromitteres bare ved å laste inn en annonse. Ingen trykking, ingen nedlastingsforespørsel, ingen falsk innloggingsside. Teknikken bærer navnet AdFection.

Advarselen følger forskning rapportert i midten av oktober 2026. Søkedekningen tilskriver funnene til Citizen Lab, hvis forskere beskrev AdFection som en cyberetterretningsteknikk. Disse sammendragene sier at forskningen koblet et annonseselskap kalt Discover-Tech til leiesoldat-spywareleverandører, og navnga Candiru og Bindecy, og at Al Jazeera-enheter var blant dem som ble målrettet. Vi har ikke uavhengig verifisert disse detaljene, så behandle dem som de rapporterte funnene fra den forskningen snarere enn etablert faktum.

Hovedpoenget for vanlige lesere er leveringsmetoden. Angrepet kommer gjennom den samme annonseringskanalen som leverer banner- og videoannonser i apper og nettsteder.

Hvordan et nullklikks annonseangrep fungerer

Kildeartikkelen er kortfattet om mekanikken, men forskningssammendragene gir en nyttig oversikt. De beskriver at angriperne utnytter sanntidsbudsystemet, den automatiserte auksjonen som avgjør hvilken annonse som vises på skjermen din i brøkdelen av et sekund før en side eller app lastes.

I forenklede termer ser den rapporterte sekvensen slik ut:

  • Målretting: en operatør velger en spesifikk person eller enhet de ønsker å nå.
  • Fingeravtrykk: annonsesystemet brukes til å gjenkjenne den enheten, basert på den typen informasjon annonser vanligvis samler inn.
  • Levering: når den målrettede enheten laster inn en annonse, serveres en ondsinnet nyttelast i stedet for, eller sammen med, vanlig innhold.
  • Infeksjon: hvis enheten har en utnyttbar sårbarhet, kan spyware installeres uten noen interaksjon.

Dette er grunnen til at angrepet beskrives som nullklikk. Offeret gjør ingenting uvanlig. De bare surfer eller bruker en app som viser annonser. Forskningssammendragene understreker at denne tilnærmingen er rettet mot spesifikke individer, noe som passer mønsteret for kommersiell spyware snarere enn massemalware. Likevel signaliserer en offentlig advarsel fra et nasjonalt CERT at teknikken er verdt å ta på alvor langt utover journalister og aktivister.

Hvor en VPN hjelper og hvor den ikke gjør det

Denne saken er en god påminnelse om hva en VPN faktisk gjør. En VPN krypterer trafikken mellom enheten din og VPN-serveren, og den skjuler IP-adressen din for nettstedene du besøker. Det er genuint nyttig på offentlig Wi-Fi og for å begrense enkelte typer sporing.

Det en VPN ikke gjør, er å inspisere eller blokkere innholdet som kommer gjennom den krypterte tunnelen. Hvis en ondsinnet annonsenyttelast leveres til telefonen din, frakter VPN-en den akkurat som alle andre data. Den fjerner ikke sårbarheten nyttelasten er rettet mot, og den stopper ikke et annonsenettverk fra å serve annonsen. Å skjule IP-adressen din gjør også lite mot enhetsfingeravtrykket som forskningssammendragene beskriver, siden det bygger på andre signaler.

Det finnes et lite unntak verdt å nevne forsiktig: noen VPN-apper inkluderer valgfri annonse- eller sporingsblokkering. Det er en separat funksjon fra selve den krypterte tunnelen, og effektiviteten varierer. Hvis du stoler på det, sjekk at det er slått på og hold det i perspektiv.

Den bredere lærdommen handler om tillit på ulike lag. Kryptering beskytter data under overføring, men den sier ingenting om hvorvidt innholdet som leveres er trygt. Vi så på et beslektet tillitsspørsmål i vårt innlegg om TLS-sertifikat tilbakekalling og GlobalSign-etterspillet, som viser hvor mange separate mekanismer som ligger mellom deg og et nettsted.

Hva iPhone-, iPad- og Windows-brukere bør gjøre nå

Sammendraget fra Nasjonalt CERT som vi har, lister ikke opp spesifikke sårbarheter eller berørte programvareversjoner, så vi vil ikke gjette på dem. Følgende trinn er generelle, rimelige og fornuftige i lys av denne typen trussel.

iPhone og iPad

  • Installer den nyeste iOS- eller iPadOS-oppdateringen. Nullklikks-angrep avhenger av uopprettede feil, så oppdateringer er den mest direkte beskyttelsen.
  • Vurder å slå på Lockdown Mode hvis du er i forhøyet risiko, for eksempel en journalist, aktivist eller noen som håndterer sensitivt arbeid. Det reduserer funksjonaliteten mot en mindre angrepsflate.
  • Begrens annonsepersonalisering i personverninnstillingene dine for å redusere dataene annonser kan bruke.

Windows

  • Kjør Windows Update og oppdater nettleseren din, siden nettlesere er der annonser lastes inn.
  • Bruk en anerkjent innholdsblokkerer eller nettleserinnstilling som blokkerer annonser og sporere.
  • Hold innebygde sikkerhetsverktøy aktivert.

Android og andre enheter

  • Den samme logikken gjelder: installer system- og nettleseroppdateringer raskt og bruk annonse- eller innholdsblokkering.

Hva dette betyr for deg

De fleste er usannsynligvis det tiltenkte målet for leiesoldat-spyware. Men leveringskanalen, nettreklame, er noe alle deler, og forsvaret er enkelt nok å ta i bruk uavhengig av risikonivået ditt. Den praktiske konklusjonen er at de sterkeste beskyttelsene her er kjedelige: oppdatert programvare og færre annonser som når enheten din.

En VPN forblir et nyttig personvernverktøy for det den er designet til å gjøre. Den bør bare ikke behandles som beskyttelse mot ondsinnede annonser.

Handlingsrettede konklusjoner

  • Oppdater telefonen, nettbrettet, datamaskinen og nettleseren din i dag, og aktiver automatiske oppdateringer.
  • Slå på annonse- eller innholdsblokkering i nettleseren eller systeminnstillingene dine.
  • Reduser annonsepersonalisering for å begrense fingeravtrykkdata.
  • Hvis du er i høyere risiko, vurder Lockdown Mode på Apple-enheter.
  • Behandle en VPN som ett personvernlag, ikke et forsvar mot nullklikks annonsespyware AdFection eller lignende angrep.

Advarselen fra Nasjonalt CERT er en oppfordring til å sjekke det grunnleggende. Ti minutter brukt på oppdateringer og annonseblokkering gjør mer mot denne trusselen enn noen mengde trafikkkryptering.