Nationellt CERT har utfärdat en varning om att spionprogram kan infektera telefoner via onlineannonser utan att användaren klickar på något. Tekniken kallas AdFection, och modellen med nollklicks-annonsspionprogrammet AdFection är viktig eftersom den tar bort det enda försvar som de flesta förlitar sig på: att inte trycka på misstänkta saker. Det här inlägget förklarar vad som är känt, hur den här typen av attack fungerar och var en VPN passar in.

Vad Nationellt CERT varnar för

Enligt rapporten om varningen säger Nationellt CERT att en telefon kan komprometteras helt enkelt genom att en annons laddas. Inget tryck, ingen nedladdningsuppmaning, ingen falsk inloggningssida. Tekniken bär namnet AdFection.

Varningen följer på forskning som rapporterades i mitten av oktober 2026. Sökbevakningen tillskriver fynden Citizen Lab, vars forskare beskrev AdFection som en cyberespionageteknik. Dessa sammanfattningar säger att forskningen kopplade ett annonsföretag som heter Discover-Tech till leverantörer av legosoldatspionprogram, och namngav Candiru och Bindecy, och att Al Jazeeras enheter fanns bland de som utsattes. Vi har inte självständigt verifierat dessa detaljer, så behandla dem som de rapporterade fynden från den forskningen snarare än som etablerat faktum.

Den viktigaste punkten för vanliga läsare är leveransmetoden. Attacken kommer via samma annonspipeline som levererar banners och videoannonser i appar och på webbplatser.

Hur en nollklicks-annonsattack fungerar

Källartikeln är kortfattad om mekaniken, men forskningssammanfattningarna ger en användbar översikt. De beskriver hur angriparna utnyttjar ekosystemet för realtidsbjudningar, den automatiserade auktionen som avgör vilken annons som visas på din skärm i bråkdelen av en sekund innan en sida eller app laddas.

I förenklade ordalag ser den rapporterade sekvensen ut så här:

  • Inriktning: en operatör väljer en specifik person eller enhet som de vill nå.
  • Fingeravtryck: annonssystemet används för att känna igen den enheten, baserat på den typ av information som annonser normalt samlar in.
  • Leverans: när den riktade enheten laddar en annons levereras en skadlig nyttolast i stället för, eller tillsammans med, normalt innehåll.
  • Infektion: om enheten har en utnyttjbar sårbarhet kan spionprogrammet installeras utan någon interaktion.

Det är därför attacken beskrivs som nollklick. Offret gör inget ovanligt. De surfar bara eller använder en app som visar annonser. Forskningssammanfattningarna betonar att detta tillvägagångssätt riktar sig mot specifika individer, vilket passar mönstret för kommersiella spionprogram snarare än massmalware. Ändå signalerar en offentlig varning från ett nationellt CERT att tekniken är värd att ta på allvar långt utanför journalister och aktivister.

Var en VPN hjälper och var den inte gör det

Den här historien är en bra påminnelse om vad en VPN faktiskt gör. En VPN krypterar trafiken mellan din enhet och VPN-servern, och den döljer din IP-adress för de webbplatser du besöker. Det är verkligen användbart på offentliga Wi-Fi-nätverk och för att begränsa vissa typer av spårning.

Vad en VPN inte gör är att granska eller blockera det innehåll som kommer genom den krypterade tunneln. Om en skadlig annonsnyttolast levereras till din telefon bär VPN:n den precis som vilken annan data som helst. Den tar inte bort den sårbarhet som nyttolasten riktar sig mot, och den stoppar inte ett annonsnätverk från att visa annonsen. Att dölja din IP gör inte heller mycket mot det fingeravtryck av enheten som forskningssammanfattningarna beskriver, eftersom det bygger på andra signaler.

Det finns ett litet undantag värt att nämna försiktigt: vissa VPN-appar inkluderar valfri blockering av annonser eller spårare. Det är en separat funktion från den krypterade tunneln i sig, och dess effektivitet varierar. Om du förlitar dig på den, kontrollera att den är påslagen och håll den i perspektiv.

Den bredare lärdomen handlar om tillit på olika lager. Kryptering skyddar data under överföring, men den säger ingenting om huruvida innehållet som levereras är säkert. Vi tittade på en relaterad tillitsfråga i vår artikel om TLS-certifikatens återkallande och GlobalSign-följderna, som visar hur många separata mekanismer som ligger mellan dig och en webbplats.

Vad användare av iPhone, iPad och Windows bör göra nu

Sammanfattningen från Nationellt CERT som vi har listar inte specifika sårbarheter eller berörda programvaruversioner, så vi kommer inte att gissa på dem. Följande steg är allmänna, billiga och förnuftiga med tanke på den här typen av hot.

iPhone och iPad

  • Installera den senaste iOS- eller iPadOS-uppdateringen. Nollklicksattacker är beroende av oåtgärdade brister, så uppdateringar är det mest direkta skyddet.
  • Överväg att aktivera Lockdown Mode om du löper förhöjd risk, till exempel som journalist, aktivist eller någon som hanterar känsligt arbete. Det minskar funktionaliteten i utbyte mot en mindre attackyta.
  • Begränsa annonsanpassning i dina sekretessinställningar för att minska den data som annonser kan använda.

Windows

  • Kör Windows Update och uppdatera din webbläsare, eftersom webbläsare är där annonser laddas.
  • Använd en pålitlig innehållsblockerare eller en webbläsarinställning som blockerar annonser och spårare.
  • Håll de inbyggda säkerhetsverktygen aktiverade.

Android och andra enheter

  • Samma logik gäller: installera system- och webbläsaruppdateringar snabbt och använd annons- eller innehållsblockering.

Vad detta innebär för dig

De flesta människor är osannolikt den avsedda måltavlan för legosoldatspionprogram. Men leveranskanalen, onlineannonsering, är något som alla delar, och försvaret är enkelt nog att anamma oavsett din risknivå. Den praktiska slutsatsen är att de starkaste skydden här är tråkiga: uppdaterad programvara och färre annonser som når din enhet.

En VPN är fortfarande ett värdefullt integritetsverktyg för det den är designad att göra. Den bör bara inte behandlas som skydd mot skadliga annonser.

Praktiska slutsatser

  • Uppdatera din telefon, surfplatta, dator och webbläsare idag, och aktivera automatiska uppdateringar.
  • Aktivera annons- eller innehållsblockering i din webbläsare eller i systeminställningarna.
  • Minska annonsanpassning för att begränsa fingeravtrycksdata.
  • Om du löper högre risk, överväg Lockdown Mode på Apple-enheter.
  • Behandla en VPN som ett lager av integritet, inte som ett försvar mot nollklicks-annonsspionprogrammet AdFection eller liknande attacker.

Nationellt CERT:s varning är en påminnelse om att kontrollera det grundläggande. Tio minuter på uppdateringar och annonsblockering gör mer mot detta hot än någon mängd trafikkryptering.