Citizen Lab, підрозділ дослідження цифрових прав Університету Торонто, заявляє, що виявив докази того, що десятки пристроїв у медіаорганізації Al Jazeera були зламані після показу їм шкідливої онлайн-реклами. Про цю знахідку повідомив TechCrunch 15 жовтня 2026 року, і вона вказує на тривожну тенденцію: шпигунське програмне забезпечення нульового кліку, яке доставляється через шкідливу рекламу, тепер може слугувати шляхом доставки на телефон або комп'ютер цілі, без жодного натискання з боку людини.

Публічне резюме коротке, тому цей допис обмежується тим, про що було повідомлено, і пояснює загальну механіку та засоби захисту, які зазвичай описують дослідники з безпеки.

Що Citizen Lab виявив в Al Jazeera

Згідно зі звітом, Citizen Lab виявив докази того, що десятки пристроїв в Al Jazeera були скомпрометовані після того, як людям, які ними користувалися, показали шкідливу онлайн-рекламу. Головне твердження полягає в тому, що уряди зловживають онлайн-рекламою для доставки шпигунського програмного забезпечення нульового кліку, тобто шпигунського ПЗ, яке заражає пристрій без відкриття жертвою файлу чи натискання на посилання.

У вихідному резюме не називається постачальник шпигунського ПЗ, конкретні рекламні мережі, задіяні в цьому, або точні використані вразливості, і ми не будемо про них здогадуватися. Що воно встановлює, так це ціль: велика медіаорганізація, де співробітники регулярно мають справу з чутливими джерелами та інформацією. Слово «імовірно» тут також має значення. Це висновки дослідницької групи, і деталі можуть з'явитися в міру публікації нових матеріалів.

Як шкідлива реклама може зламати телефон без кліку

Традиційна атака вимагає, щоб ви щось зробили: відкрили вкладення, натиснули на посилання, встановили застосунок. Атака нульового кліку прибирає цей крок. Вона покладається на недолік у програмному забезпеченні, яке автоматично обробляє вміст, наприклад, браузер або застосунок, що відображає зображення, відео чи вебсторінку. Якщо вміст створено так, щоб використати цей недолік, шкідливий код може виконатися під час звичайної роботи.

Онлайн-реклама надзвичайно добре вписується в цю модель. Реклама завантажується автоматично, коли відкривається сторінка або застосунок, часто зі сторонніх серверів, які видавець не контролює безпосередньо. Зловмисник, здатний розмістити шкідливу рекламу перед обраною людиною, міг би, в принципі, спровокувати вразливість у програмному забезпеченні, яке її відображає. Інструменти таргетування реклами, які існують для вибору конкретних аудиторій, могли б допомогти звузити доставку до передбачуваної жертви.

Ключовий момент полягає в тому, що людина не зробила нічого неправильного. Показу реклами було достатньо, згідно з повідомленими висновками Citizen Lab.

Чому журналісти та звичайні користувачі однаково під загрозою

Журналісти — очевидна ціль. Редакції зберігають конфіденційні контакти, неопубліковані матеріали та дані про місцеположення, які можуть бути потрібні урядам. Атака, яка працює через рекламу, усуває потребу в переконливому фішинговому повідомленні, яке співробітники часто навчені розпізнавати.

Але канал доставки не обмежується редакціями. Реклама досягає майже всіх, хто переглядає веб або користується безкоштовними застосунками. Високоцільове шпигунське ПЗ, як правило, дороге і спрямоване на конкретних осіб, тому більшість людей навряд чи є передбачуваною жертвою. Тим не менш, та сама рекламна інфраструктура обслуговує всіх, і слабкі місця в тому, як пристрої обробляють вебвміст, впливають на всіх користувачів, доки їх не виправлять. Активісти, юристи, дослідники та інші, хто міг би привернути увагу уряду, мають вважати себе частиною групи ризику, а не лише репортерів.

Що насправді знижує ризик (і чого не може зробити VPN)

Варто бути відвертим: сам VPN не захищає від такого типу атаки. VPN шифрує ваш трафік між пристроєм і VPN-сервером та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Він не заважає пристрою відображати шкідливу рекламу і не виправляє вразливість програмного забезпечення. Якщо експлойт доставляється всередині вмісту, який завантажує ваш пристрій, тунель просто переносить його.

Заходи, які впливають на фактичний шлях атаки, включають:

  • Своєчасно оновлюйте операційну систему та браузер. Атаки нульового кліку залежать від невиправлених або невідомих недоліків. Швидке встановлення оновлень безпеки закриває відомі дірки.
  • Використовуйте блокування вмісту або реклами. Якщо реклама ніколи не завантажується, вона не може доставити експлойт. Блокувальники на рівні браузера або мережі скорочують вплив сторонніх рекламних серверів.
  • Увімкніть режим блокування, де він доступний. Режим блокування Apple розроблений для людей з підвищеним ризиком і зменшує поверхню атаки, обмежуючи певні вебфункції та функції обміну повідомленнями.
  • Регулярно перезавантажуйте пристрої та зменшуйте кількість встановлених застосунків. Менше застосунків означає менше компонентів, що показують рекламу, і менше місць, де можуть ховатися недоліки.

Що це означає для вас

Для більшості читачів реалістичний ризик стати особистою ціллю шпигунського ПЗ урядового рівня є низьким, але урок застосовний широко: інструменти приватності працюють із конкретними проблемами, і жоден окремий інструмент не покриває все. VPN допомагає з мережевою приватністю. Він не є захистом від експлойтів. Якщо ви працюєте з чутливими джерелами або маєте підстави вважати, що можете бути ціллю, ставтеся до зміцнення пристрою та блокування реклами як до необхідного і розгляньте суворіші режими, які пропонує ваш телефон.

Робота Citizen Lab також живить ширшу політичну дискусію. Якщо ви хочете дізнатися більше про дослідження цієї групи та суперечку щодо стеження й шифрування, читайте наш матеріал про те, як Citizen Lab вказує на ризики шифрування в канадському законопроєкті C-22.

Ключові висновки

Знахідки щодо Al Jazeera показують, що шпигунське ПЗ нульового кліку, яке доставляється через шкідливу рекламу, є реальним методом доставки, а не лише теоретичним. Ви не можете контролювати, яку рекламу показують, але можете контролювати, наскільки відкритий ваш пристрій. Встановлюйте оновлення ОС і браузера щойно вони з'являються, використовуйте блокувальник реклами чи вмісту та вмикайте режим блокування, якщо ви піддаєтеся вищому ризику. Продовжуйте користуватися VPN, якщо це відповідає вашим потребам, але не покладайтеся на нього, щоб зупинити атаку, яка надходить через вміст, який завантажує ваш пристрій. Для ширшого контексту про роботу Citizen Lab і дискусію щодо стеження дивіться наш матеріал про законопроєкт C-22 і ризики шифрування.