Citizen Lab, jednostka badawcza ds. praw cyfrowych na Uniwersytecie w Toronto, twierdzi, że znalazła dowody, iż dziesiątki urządzeń w organizacji medialnej Al Jazeera zostały zhakowane po wyświetleniu im złośliwych reklam internetowych. Odkrycie, o którym poinformował TechCrunch 15 października 2026 r., wskazuje na niepokojący rozwój sytuacji: złośliwe reklamy z oprogramowaniem szpiegującym typu zero-click mogą teraz służyć jako droga dostarczania na telefon lub komputer celu, bez konieczności dotknięcia czegokolwiek przez daną osobę.

Publiczne podsumowanie jest zwięzłe, więc ten artykuł trzyma się tego, co zostało zgłoszone, i wyjaśnia ogólną mechanikę oraz zabezpieczenia, które badacze bezpieczeństwa powszechnie opisują.

Co Citizen Lab znalazł w Al Jazeera

Zgodnie z raportem Citizen Lab znalazł dowody, że dziesiątki urządzeń w Al Jazeera zostały przejęte po tym, jak korzystającym z nich osobom wyświetlono złośliwe reklamy internetowe. Główna teza jest taka, że rządy nadużywają reklam internetowych do dostarczania oprogramowania szpiegującego typu zero-click, czyli szpiegowskiego oprogramowania, które infekuje urządzenie bez otwierania pliku lub klikania linku przez ofiarę.

Podsumowanie źródłowe nie podaje nazwy dostawcy oprogramowania szpiegującego, konkretnych zaangażowanych sieci reklamowych ani dokładnych wykorzystanych luk w zabezpieczeniach, i nie będziemy ich zgadywać. Ustala natomiast cel: dużą organizację medialną, w której pracownicy rutynowo mają do czynienia z wrażliwymi źródłami i informacjami. Słowo „rzekomo" ma tu również znaczenie. To ustalenia grupy badawczej, a szczegóły mogą się pojawić wraz z publikacją kolejnych informacji.

Jak złośliwa reklama może zhakować telefon bez kliknięcia

Tradycyjny atak wymaga, abyś coś zrobił: otworzył załącznik, dotknął link, zainstalował aplikację. Atak typu zero-click usuwa ten krok. Opiera się na luce w oprogramowaniu, które automatycznie przetwarza treści, takie jak przeglądarka lub aplikacja renderująca obraz, wideo czy stronę internetową. Jeśli treść jest spreparowana tak, by wykorzystać tę lukę, złośliwy kod może zostać uruchomiony podczas normalnego działania.

Reklamy internetowe pasują do tego modelu niepokojąco dobrze. Reklamy ładują się automatycznie przy otwarciu strony lub aplikacji, często z serwerów zewnętrznych, których wydawca bezpośrednio nie kontroluje. Atakujący zdolny umieścić złośliwą reklamę przed wybraną osobą mógłby, w zasadzie, wywołać lukę w oprogramowaniu, które ją wyświetla. Narzędzia targetowania reklam, które istnieją po to, by wybierać konkretne grupy odbiorców, mogłyby pomóc zawęzić dostarczanie do zamierzonej ofiary.

Kluczowe jest to, że dana osoba nie zrobiła nic złego. Wyświetlenie reklamy wystarczyło, zgodnie z raportowanymi ustaleniami Citizen Lab.

Dlaczego dziennikarze i zwykli użytkownicy są narażeni

Dziennikarze są oczywistym celem. Redakcje przechowują poufne kontakty, niepublikowane materiały i dane o lokalizacji, które rządy mogą chcieć pozyskać. Atak działający przez reklamy usuwa potrzebę przekonującej wiadomości phishingowej, którą pracownicy są często szkoleni, by rozpoznawać.

Jednak kanał dostarczania nie ogranicza się do redakcji. Reklamy docierają do niemal każdego, kto przegląda internet lub korzysta z darmowych aplikacji. Wysoce ukierunkowane oprogramowanie szpiegujące jest zazwyczaj drogie i wymierzone w konkretne osoby, więc większość ludzi raczej nie będzie zamierzoną ofiarą. Mimo to ta sama infrastruktura reklamowa służy wszystkim, a słabości w sposobie, w jaki urządzenia obsługują treści internetowe, dotyczą wszystkich użytkowników, dopóki nie zostaną załatane. Aktywiści, prawnicy, badacze i inni, którzy mogliby przyciągnąć zainteresowanie rządów, powinni uważać się za część grupy ryzyka, nie tylko reporterzy.

Co faktycznie zmniejsza ryzyko (i czego VPN nie może zrobić)

Warto powiedzieć wprost: sam VPN nie chroni przed tego rodzaju atakiem. VPN szyfruje ruch między twoim urządzeniem a serwerem VPN i ukrywa twój adres IP przed odwiedzanymi stronami. Nie powstrzymuje urządzenia przed renderowaniem złośliwej reklamy i nie naprawia luki w oprogramowaniu. Jeśli exploit jest dostarczany w treści, którą ładuje twoje urządzenie, tunel po prostu go przenosi.

Środki, które odnoszą się do rzeczywistej ścieżki ataku, obejmują:

  • Niezwłocznie aktualizuj system operacyjny i przeglądarkę. Ataki typu zero-click zależą od niezałatanych lub nieznanych luk. Szybkie instalowanie aktualizacji bezpieczeństwa zamyka znane dziury.
  • Używaj blokowania treści lub reklam. Jeśli reklama nigdy się nie załaduje, nie może dostarczyć exploitu. Blokery na poziomie przeglądarki lub sieci ograniczają ekspozycję na serwery reklamowe stron trzecich.
  • Włącz tryb Lockdown, gdzie jest dostępny. Tryb Lockdown firmy Apple jest zaprojektowany dla osób o podwyższonym ryzyku i zmniejsza powierzchnię ataku, ograniczając niektóre funkcje internetowe i komunikacyjne.
  • Regularnie restartuj urządzenia i ogranicz liczbę zainstalowanych aplikacji. Mniej aplikacji oznacza mniej komponentów wyświetlających reklamy i mniej miejsc, w których mogą ukryć się luki.

Co to oznacza dla ciebie

Dla większości czytelników realne ryzyko bycia osobiście wycelowanym rządowym oprogramowaniem szpiegującym jest niskie, ale lekcja ma szerokie zastosowanie: narzędzia prywatności działają na konkretne problemy i żadne pojedyncze narzędzie nie obejmuje wszystkiego. VPN pomaga w prywatności sieciowej. Nie jest obroną przed exploitami. Jeśli pracujesz z wrażliwymi źródłami lub masz powody sądzić, że możesz być celem, traktuj wzmacnianie urządzenia i blokowanie reklam jako niezbędne i rozważ surowsze tryby oferowane przez twój telefon.

Praca Citizen Lab zasila również szerszą debatę polityczną. Jeśli chcesz więcej o badaniach tej grupy i sporze wokół nadzoru oraz szyfrowania, przeczytaj nasze omówienie tego, jak Citizen Lab wskazuje ryzyka szyfrowania w kanadyjskim Bill C-22.

Najważniejsze wnioski

Ustalenia w Al Jazeera pokazują, że złośliwe reklamy z oprogramowaniem szpiegującym typu zero-click są realną metodą dostarczania, a nie tylko teoretyczną. Nie możesz kontrolować, które reklamy są serwowane, ale możesz kontrolować, jak bardzo narażone jest twoje urządzenie. Instaluj aktualizacje systemu i przeglądarki, gdy tylko się pojawią, używaj blokera reklam lub treści i włącz tryb Lockdown, jeśli jesteś w grupie wyższego ryzyka. Korzystaj dalej z VPN, jeśli odpowiada to twoim potrzebom, ale nie polegaj na nim, by powstrzymać atak, który nadchodzi przez treści ładowane przez twoje urządzenie. Po szerszy kontekst na temat pracy Citizen Lab i debaty o nadzorze zobacz nasz artykuł o Bill C-22 i ryzykach szyfrowania.