Citizen Lab หน่วยวิจัยด้านสิทธิดิจิทัลแห่งมหาวิทยาลัยโทรอนโต กล่าวว่าพบหลักฐานว่าอุปกรณ์หลายสิบเครื่องขององค์กรสื่อ Al Jazeera ถูกแฮ็กหลังจากผู้ใช้งานถูกแสดงโฆษณาออนไลน์ที่เป็นอันตราย การค้นพบนี้ซึ่งรายงานโดย TechCrunch เมื่อวันที่ 15 ตุลาคม 2026 ชี้ให้เห็นถึงพัฒนาการที่น่ากังวล: สปายแวร์แบบ zero-click ที่มาพร้อมโฆษณาอันตรายสามารถใช้เป็นช่องทางในการส่งมอบไปยังโทรศัพท์หรือคอมพิวเตอร์ของเป้าหมายได้แล้ว โดยที่บุคคลนั้นไม่ต้องแตะอะไรเลย

บทสรุปสาธารณะนั้นสั้น ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่ได้รับการรายงาน และอธิบายกลไกทั่วไปและการป้องกันที่นักวิจัยด้านความปลอดภัยมักอธิบายไว้

สิ่งที่ Citizen Lab ค้นพบที่ Al Jazeera

ตามรายงาน Citizen Lab พบหลักฐานว่าอุปกรณ์หลายสิบเครื่องที่ Al Jazeera ถูกบุกรุกหลังจากผู้ใช้งานถูกแสดงโฆษณาออนไลน์ที่เป็นอันตราย ข้อกล่าวอ้างหลักคือรัฐบาลกำลังใช้ประโยชน์จากโฆษณาออนไลน์เพื่อส่งมอบสปายแวร์แบบ zero-click ซึ่งหมายถึงสปายแวร์ที่ infect อุปกรณ์โดยที่เหยื่อไม่ต้องเปิดไฟล์หรือคลิกลิงก์

บทสรุปต้นทางไม่ได้ระบุชื่อผู้จำหน่ายสปายแวร์ เครือข่ายโฆษณาที่เกี่ยวข้อง หรือช่องโหว่ที่ถูกใช้ และเราจะไม่คาดเดาเกี่ยวกับสิ่งเหล่านั้น สิ่งที่มันยืนยันได้คือเป้าหมาย: องค์กรสื่อขนาดใหญ่ ซึ่งพนักงานต้องจัดการกับแหล่งข่าวและข้อมูลที่ละเอียดอ่อนเป็นประจำ คำว่า " allegedly" ก็สำคัญในที่นี้เช่นกัน สิ่งเหล่านี้เป็นผลการค้นพบของกลุ่มวิจัย และรายละเอียดอาจปรากฏออกมาเมื่อมีการเผยแพร่มากขึ้น

โฆษณาอันตรายสามารถแฮ็กโทรศัพท์ได้อย่างไรโดยไม่ต้องคลิก

การโจมตีแบบดั้งเดิมต้องให้คุณทำอะไรบางอย่าง: เปิดไฟล์แนบ แตะลิงก์ ติดตั้งแอป การโจมตีแบบ zero-click ขจัดขั้นตอนนั้นออกไป มันอาศัยข้อบกพร่องในซอฟต์แวร์ที่ประมวลผลเนื้อหาโดยอัตโนมัติ เช่น เบราว์เซอร์หรือแอปที่แสดงภาพ วิดีโอ หรือหน้าเว็บ หากเนื้อหาถูกสร้างขึ้นเพื่อใช้ประโยชน์จากข้อบกพร่องนั้น โค้ดอันตรายสามารถทำงานได้ในระหว่างการทำงานปกติ

โฆษณาออนไลน์เข้ากับรูปแบบนี้อย่างน่ากังวล โฆษณาถูกโหลดโดยอัตโนมัติเมื่อหน้าเว็บหรือแอปเปิดขึ้น มักมาจากเซิร์ฟเวอร์ของบุคคลที่สามที่ผู้เผยแพร่ไม่ได้ควบคุมโดยตรง ผู้โจมตีที่สามารถวางโฆษณาอันตรายไว้ตรงหน้าบุคคลที่เลือกได้ ในหลักการแล้วสามารถกระตุ้นช่องโหว่ในซอฟต์แวร์ที่แสดงโฆษณานั้นได้ เครื่องมือกำหนดเป้าหมายโฆษณาซึ่งมีอยู่เพื่อเลือกกลุ่มเป้าหมายเฉพาะ อาจช่วยจำกัดการส่งมอบให้แคบลงไปยังเหยื่อที่ตั้งใจไว้

ประเด็นสำคัญคือบุคคลนั้นไม่ได้ทำอะไรผิด การถูกแสดงโฆษณาก็เพียงพอแล้ว ตามผลการค้นพบที่รายงานโดย Citizen Lab

ทำไมนักข่าวและผู้ใช้ทั่วไปจึงเสี่ยงทั้งคู่

นักข่าวเป็นเป้าหมายที่ชัดเจน ห้องข่าวถือข้อมูลติดต่อที่เป็นความลับ เนื้อหาที่ยังไม่เผยแพร่ และข้อมูลตำแหน่งที่รัฐบาลอาจต้องการ การโจมตีที่ได้ผลผ่านโฆษณาขจัดความจำเป็นสำหรับข้อความ phishing ที่น่าเชื่อถือ ซึ่งพนักงานมักได้รับการฝึกให้สังเกต

แต่ช่องทางส่งมอบไม่ได้จำกัดอยู่แค่ห้องข่าว โฆษณาเข้าถึงเกือบทุกคนที่ท่องเว็บหรือใช้แอปฟรี สปายแวร์ที่กำหนดเป้าหมายสูงมักมีราคาแพงและมุ่งไปที่บุคคลเฉพาะ ดังนั้นคนส่วนใหญ่จึงไม่น่าจะเป็นเหยื่อที่ตั้งใจไว้ อย่างไรก็ตาม โครงสร้างพื้นฐานโฆษณาเดียวกันให้บริการทุกคน และจุดอ่อนในการจัดการเนื้อหาเว็บของอุปกรณ์ส่งผลกระทบต่อผู้ใช้ทุกคนจนกว่าจะได้รับการแพตช์ นักกิจกรรม ทนายความ นักวิจัย และคนอื่นๆ ที่อาจดึงความสนใจจากรัฐบาล ควรถือว่าตนเองเป็นส่วนหนึ่งของกลุ่มที่มีความเสี่ยง ไม่ใช่แค่นักข่าว

อะไรที่ลดความเสี่ยงได้จริง (และอะไรที่ VPN ทำไม่ได้)

ควรพูดตรงๆ ว่า: VPN เพียงอย่างเดียวไม่ป้องกันการโจมตีประเภทนี้ VPN เข้ารหัสทราฟฟิกของคุณระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN และซ่อน IP address ของคุณจากเว็บไซต์ที่คุณเยี่ยมชม มันไม่ได้หยุดอุปกรณ์จากการแสดงโฆษณาอันตราย และไม่ได้แก้ไขช่องโหว่ของซอฟต์แวร์ หาก exploit ถูกส่งมาในเนื้อหาที่อุปกรณ์ของคุณโหลด อุโมงค์ก็เพียงแค่พามันไป

มาตรการที่จัดการกับเส้นทางการโจมตีจริงๆ ได้แก่:

  • อัปเดตระบบปฏิบัติการและเบราว์เซอร์ทันที การโจมตีแบบ zero-click ขึ้นอยู่กับข้อบกพร่องที่ยังไม่แพตช์หรือยังไม่รู้จัก การติดตั้งอัปเดตความปลอดภัยอย่างรวดเร็วปิดรูรั่วที่รู้จัก
  • ใช้การบล็อกเนื้อหาหรือโฆษณา หากโฆษณาไม่โหลดเลย มันก็ไม่สามารถส่ง exploit ได้ ตัวบล็อกในระดับเบราว์เซอร์หรือเครือข่ายลดการเปิดรับต่อเซิร์ฟเวอร์โฆษณาของบุคคลที่สาม
  • เปิดใช้ Lockdown Mode ในที่ที่มีให้ใช้ Lockdown Mode ของ Apple ถูกออกแบบมาสำหรับผู้ที่มีความเสี่ยงสูง และลดพื้นที่การโจมตีโดยจำกัดคุณสมบัติเว็บและข้อความบางอย่าง
  • รีสตาร์ทอุปกรณ์เป็นประจำและลดแอปที่ติดตั้ง แอปน้อยลงหมายถึงส่วนประกอบที่ให้บริการโฆษณาน้อยลง และมีที่ให้ข้อบกพร่องซ่อนน้อยลง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับผู้อ่านส่วนใหญ่ ความเสี่ยงจริงที่จะถูกกำหนดเป้าหมายเป็นการส่วนตัวด้วยสปายแวร์ระดับรัฐบาลนั้นต่ำ แต่บทเรียนนี้ใช้ได้ในวงกว้าง: เครื่องมือความเป็นส่วนตัวแก้ปัญหาเฉพาะเจาะจง และไม่มีเครื่องมือใดเพียงอย่างเดียวที่ครอบคลุมทุกอย่าง VPN ช่วยเรื่องความเป็นส่วนตัวของเครือข่าย มันไม่ใช่การป้องกันจาก exploit หากคุณทำงานกับแหล่งข่าวที่ละเอียดอ่อนหรือมีเหตุผลที่คิดว่าคุณอาจเป็นเป้าหมาย ให้ถือว่าการเสริมความแข็งแกร่งของอุปกรณ์และการบล็อกโฆษณาเป็นสิ่งจำเป็น และพิจารณาโหมดที่เข้มงวดกว่าที่โทรศัพท์ของคุณมีให้

งานของ Citizen Lab ยังป้อนเข้าสู่การถกเถียงเชิงนโยบายที่กว้างขึ้น หากคุณต้องการอ่านเพิ่มเติมเกี่ยวกับงานวิจัยของกลุ่มนี้และการโต้แย้งเรื่องการเฝ้าระวังและการเข้ารหัส อ่านบทความของเราเกี่ยวกับ Citizen Lab ชี้ความเสี่ยงการเข้ารหัสในร่างกฎหมาย C-22 ของแคนาดา

ประเด็นสำคัญ

การค้นพบที่ Al Jazeera แสดงให้เห็นว่าสปายแวร์แบบ zero-click ที่มาพร้อมโฆษณาอันตรายเป็นวิธีการส่งมอบจริง ไม่ใช่แค่ในทางทฤษฎี คุณไม่สามารถควบคุมได้ว่าโฆษณาใดจะถูกแสดง แต่คุณสามารถควบคุมได้ว่าอุปกรณ์ของคุณเปิดรับมากแค่ไหน ติดตั้งอัปเดต OS และเบราว์เซอร์ทันทีที่มาถึง ใช้ตัวบล็อกโฆษณาหรือเนื้อหา และเปิด Lockdown Mode หากคุณมีความเสี่ยงสูง ใช้ VPN ต่อไปหากเหมาะกับความต้องการของคุณ แต่อย่าพึ่งพามันในการหยุดการโจมตีที่มาผ่านเนื้อหาที่อุปกรณ์ของคุณโหลด สำหรับบริบทที่กว้างขึ้นเกี่ยวกับงานของ Citizen Lab และการถกเถียงเรื่องการเฝ้าระวัง ดูบทความของเราเกี่ยวกับ ร่างกฎหมาย C-22 และความเสี่ยงการเข้ารหัส