Citizen Lab, enheten för digitala rättigheter vid University of Toronto, säger sig ha hittat bevis för att dussintals enheter hos medieorganisationen Al Jazeera hackades efter att ha visats skadliga annonser online. Fyndet, som rapporterades av TechCrunch den 15 oktober 2026, pekar på en oroande utveckling: nollklicks-spionprogram skadliga annonser kan nu fungera som en leveransväg till en måltavlas telefon eller dator, utan att personen trycker på något.

Den offentliga sammanfattningen är kort, så det här inlägget håller sig till det som har rapporterats och förklarar den allmänna mekanik och de försvar som säkerhetsforskare vanligtvis beskriver.

Vad Citizen Lab hittade hos Al Jazeera

Enligt rapporten hittade Citizen Lab bevis för att dussintals enheter hos Al Jazeera komprometterades efter att personerna som använde dem visades skadliga annonser online. Huvudpåståendet är att regeringar missbrukar onlineannonsering för att leverera nollklicks-spionprogram, det vill säga spionprogram som infekterar en enhet utan att offret öppnar en fil eller klickar på en länk.

Källsammanfattningen namnger inte spionprogrammets leverantör, de specifika annonsnätverken eller de exakta sårbarheter som användes, och vi kommer inte att gissa oss till dem. Det den fastställer är målet: en stor medieorganisation, där personal rutinmässigt hanterar känsliga källor och information. Ordet "påstås" spelar också roll här. Detta är fynd från en forskargrupp, och detaljer kan framkomma i takt med att mer publiceras.

Hur en skadlig annons kan hacka en telefon utan ett klick

En traditionell attack kräver att du gör något: öppnar en bilaga, trycker på en länk, installerar en app. En nollklicks-attack tar bort det steget. Den utnyttjar en brist i programvara som automatiskt bearbetar innehåll, till exempel en webbläsare eller app som renderar en bild, video eller webbsida. Om innehållet är utformat för att utnyttja den bristen kan skadlig kod köras under normal drift.

Annonser online passar obehagligt väl in i den modellen. Annonser laddas automatiskt när en sida eller app öppnas, ofta från tredjepartsservrar som utgivaren inte direkt kontrollerar. En angripare som kan placera en skadlig annons framför en utvald person skulle i princip kunna utlösa en sårbarhet i programvaran som visar den. Annonsinriktningsverktyg, som finns för att välja ut specifika målgrupper, skulle kunna hjälpa till att begränsa leveransen till det avsedda offret.

Den viktigaste punkten är att personen inte gjorde något fel. Att bli visad annonsen var tillräckligt, enligt Citizen Labs rapporterade fynd.

Varför journalister och vanliga användare båda är exponerade

Journalister är ett uppenbart mål. Nyhetsredaktioner har konfidentiella kontakter, opublicerat material och platsdata som regeringar kan vilja komma åt. En attack som fungerar via annonser tar bort behovet av ett övertygande nätfiskemeddelande, som personal ofta är utbildad att upptäcka.

Men leveranskanalen är inte begränsad till nyhetsredaktioner. Annonser når nästan alla som surfar på webben eller använder gratisappar. Mycket riktade spionprogram är vanligtvis dyra och inriktade på specifika individer, så de flesta människor är osannolikt det avsedda offret. Ändå betjänar samma annonsinfrastruktur alla, och svagheter i hur enheter hanterar webbinnehåll påverkar alla användare tills de är patchade. Aktivister, jurister, forskare och andra som kan väcka regeringars intresse bör betrakta sig som en del av riskgruppen, inte bara reportrar.

Vad som faktiskt minskar risken (och vad en VPN inte kan göra)

Det är värt att vara tydlig: en VPN ensam skyddar inte mot den här typen av attack. En VPN krypterar din trafik mellan din enhet och VPN-servern och döljer din IP-adress för de webbplatser du besöker. Den hindrar inte en enhet från att rendera en skadlig annons, och den åtgärdar inte en programvarusårbarhet. Om en exploit levereras inuti innehållet som din enhet laddar, bär tunneln helt enkelt den.

Åtgärder som adresserar den faktiska attackvägen inkluderar:

  • Uppdatera ditt operativsystem och din webbläsare snabbt. Nollklicks-attacker är beroende av opatchade eller okända brister. Att snabbt installera säkerhetsuppdateringar stänger kända hål.
  • Använd innehålls- eller annonsblockering. Om annonsen aldrig laddas kan den inte leverera exploiten. Blocklösningar på webbläsar- eller nätverksnivå minskar exponeringen mot tredjepartsannonsservrar.
  • Aktivera Lockdown-läge där det finns. Apples Lockdown-läge är utformat för personer med förhöjd risk och minskar attackytan genom att begränsa vissa webb- och meddelandefunktioner.
  • Starta om enheter regelbundet och minska antalet installerade appar. Färre appar innebär färre annonsvisande komponenter och färre platser för brister att gömma sig i.

Vad detta innebär för dig

För de flesta läsare är den realistiska risken att personligen bli måltavla för spionprogram i statlig klass låg, men lärdomen gäller brett: integritetsverktyg löser specifika problem, och inget enskilt verktyg täcker allt. En VPN hjälper till med nätverksintegritet. Den är inte ett försvar mot exploits. Om du arbetar med känsliga källor eller har anledning att tro att du skulle kunna vara en måltavla, behandla enhetshärdning och annonsblockering som väsentligt, och överväg de striktare lägen som din telefon erbjuder.

Citizen Labs arbete bidrar också till en bredare politisk debatt. Om du vill veta mer om gruppens forskning och argumentationen kring övervakning och kryptering, läs vår rapportering om hur Citizen Lab flaggar krypteringsrisker i Kanadas Bill C-22.

Viktiga slutsatser

Fynden kring Al Jazeera visar att nollklicks-spionprogram skadliga annonser är en verklig leveransmetod, inte bara en teoretisk sådan. Du kan inte kontrollera vilka annonser som levereras, men du kan kontrollera hur exponerad din enhet är. Installera OS- och webbläsaruppdateringar så snart de kommer, använd en annons- eller innehållsblockerare och aktivera Lockdown-läge om du har högre risk. Fortsätt använda en VPN om det passar dina behov, men förlita dig inte på den för att stoppa en attack som kommer via innehållet som din enhet laddar. För den bredare kontexten kring Citizen Labs arbete och övervakningsdebatten, se vår artikel om Bill C-22 och krypteringsrisker.