Citizen Lab, đơn vị nghiên cứu quyền kỹ thuật số thuộc Đại học Toronto, cho biết họ đã tìm thấy bằng chứng rằng hàng chục thiết bị tại tổ chức truyền thông Al Jazeera đã bị hack sau khi được hiển thị quảng cáo trực tuyến độc hại. Phát hiện này, được TechCrunch đưa tin vào ngày 15 tháng 10 năm 2026, cho thấy một diễn biến đáng lo ngại: phần mềm gián điệp zero-click quảng cáo độc hại giờ đây có thể đóng vai trò là con đường phát tán đến điện thoại hoặc máy tính của mục tiêu, mà người đó không cần chạm vào bất cứ thứ gì.

Bản tóm tắt công khai khá ngắn gọn, vì vậy bài viết này chỉ bám sát những gì đã được báo cáo và giải thích các cơ chế chung cũng như biện pháp phòng vệ mà các nhà nghiên cứu bảo mật thường mô tả.

Citizen Lab đã phát hiện gì tại Al Jazeera

Theo báo cáo, Citizen Lab đã tìm thấy bằng chứng rằng hàng chục thiết bị tại Al Jazeera đã bị xâm phạm sau khi những người sử dụng chúng được hiển thị quảng cáo trực tuyến độc hại. Tuyên bố chính là các chính phủ đang lạm dụng quảng cáo trực tuyến để phát tán phần mềm gián điệp zero-click, nghĩa là phần mềm gián điệp lây nhiễm vào thiết bị mà nạn nhân không cần mở tệp hay nhấp vào liên kết.

Bản tóm tắt nguồn không nêu tên nhà cung cấp phần mềm gián điệp, các mạng quảng cáo cụ thể liên quan, hay các lỗ hổng chính xác được sử dụng, và chúng tôi sẽ không đoán về chúng. Điều mà nó xác lập là mục tiêu: một tổ chức truyền thông lớn, nơi nhân viên thường xuyên xử lý các nguồn tin và thông tin nhạy cảm. Từ "cáo buộc" cũng quan trọng ở đây. Đây là những phát hiện từ một nhóm nghiên cứu, và các chi tiết có thể sẽ xuất hiện khi có thêm thông tin được công bố.

Cách một quảng cáo độc hại có thể hack điện thoại mà không cần nhấp

Một cuộc tấn công truyền thống yêu cầu bạn phải làm gì đó: mở tệp đính kèm, nhấp vào liên kết, cài đặt ứng dụng. Một cuộc tấn công zero-click loại bỏ bước đó. Nó dựa vào một lỗ hổng trong phần mềm tự động xử lý nội dung, chẳng hạn như trình duyệt hoặc ứng dụng hiển thị hình ảnh, video hoặc trang web. Nếu nội dung được tạo ra để khai thác lỗ hổng đó, mã độc có thể chạy trong quá trình hoạt động bình thường.

Quảng cáo trực tuyến phù hợp với mô hình này một cách đáng lo ngại. Quảng cáo được tải tự động khi một trang hoặc ứng dụng mở ra, thường từ các máy chủ bên thứ ba mà nhà xuất bản không trực tiếp kiểm soát. Kẻ tấn công có khả năng đặt một quảng cáo độc hại trước mặt một người được chọn về nguyên tắc có thể kích hoạt một lỗ hổng trong phần mềm hiển thị nó. Các công cụ nhắm mục tiêu quảng cáo, vốn tồn tại để chọn ra các đối tượng cụ thể, có thể giúp thu hẹp việc phát tán đến nạn nhân dự định.

Điểm mấu chốt là người đó không làm gì sai. Chỉ cần được hiển thị quảng cáo là đủ, theo các phát hiện được báo cáo của Citizen Lab.

Tại sao nhà báo và người dùng thông thường đều bị phơi nhiễm

Nhà báo là mục tiêu rõ ràng. Các tòa soạn nắm giữ danh bạ liên hệ mật, tài liệu chưa công bố và dữ liệu vị trí mà các chính phủ có thể muốn. Một cuộc tấn công hoạt động qua quảng cáo loại bỏ nhu cầu về một thông điệp lừa đảo thuyết phục, thứ mà nhân viên thường được huấn luyện để nhận ra.

Nhưng kênh phát tán không chỉ giới hạn ở tòa soạn. Quảng cáo tiếp cận gần như tất cả những ai duyệt web hoặc sử dụng ứng dụng miễn phí. Phần mềm gián điệp được nhắm mục tiêu cao thường đắt đỏ và hướng đến những cá nhân cụ thể, vì vậy hầu hết mọi người khó có khả năng là nạn nhân dự định. Tuy nhiên, cùng một cơ sở hạ tầng quảng cáo phục vụ tất cả mọi người, và các điểm yếu trong cách thiết bị xử lý nội dung web ảnh hưởng đến tất cả người dùng cho đến khi chúng được vá. Các nhà hoạt động, luật sư, nhà nghiên cứu và những người khác có thể thu hút sự quan tâm của chính phủ nên coi mình là một phần của nhóm có nguy cơ, chứ không chỉ phóng viên.

Điều gì thực sự giảm thiểu rủi ro (và điều mà VPN không thể làm)

Đáng để nói thẳng: chỉ một mình VPN không bảo vệ chống lại kiểu tấn công này. VPN mã hóa lưu lượng của bạn giữa thiết bị và máy chủ VPN, đồng thời ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập. Nó không ngăn thiết bị hiển thị một quảng cáo độc hại, và nó không khắc phục lỗ hổng phần mềm. Nếu một khai thác được phát tán bên trong nội dung mà thiết bị của bạn tải, đường hầm chỉ đơn giản là mang nó đi.

Các biện pháp giải quyết đúng đường tấn công bao gồm:

  • Cập nhật hệ điều hành và trình duyệt kịp thời. Các cuộc tấn công zero-click phụ thuộc vào lỗ hổng chưa được vá hoặc chưa được biết đến. Cài đặt bản cập nhật bảo mật nhanh chóng sẽ đóng các lỗ hổng đã biết.
  • Sử dụng chặn nội dung hoặc chặn quảng cáo. Nếu quảng cáo không bao giờ tải, nó không thể phát tán khai thác. Các trình chặn ở cấp trình duyệt hoặc mạng cắt giảm phơi nhiễm với máy chủ quảng cáo bên thứ ba.
  • Bật Chế độ Khóa chặt ở nơi có sẵn. Chế độ Khóa chặt của Apple được thiết kế cho những người có nguy cơ cao và giảm bề mặt tấn công bằng cách hạn chế một số tính năng web và nhắn tin nhất định.
  • Khởi động lại thiết bị thường xuyên và giảm ứng dụng đã cài đặt. Ít ứng dụng hơn nghĩa là ít thành phần phân phối quảng cáo hơn và ít nơi để lỗ hổng ẩn náu hơn.

Điều này có ý nghĩa gì với bạn

Với hầu hết độc giả, rủi ro thực tế bị nhắm mục tiêu cá nhân bằng phần mềm gián điệp cấp chính phủ là thấp, nhưng bài học áp dụng rộng rãi: các công cụ riêng tư giải quyết những vấn đề cụ thể, và không có công cụ đơn lẻ nào bao quát mọi thứ. VPN giúp ích cho quyền riêng tư mạng. Nó không phải là biện pháp phòng vệ chống lại các khai thác. Nếu bạn làm việc với các nguồn tin nhạy cảm hoặc có lý do để nghĩ rằng bạn có thể là mục tiêu, hãy coi việc tăng cường bảo mật thiết bị và chặn quảng cáo là thiết yếu, và cân nhắc các chế độ nghiêm ngặt hơn mà điện thoại của bạn cung cấp.

Công trình của Citizen Lab cũng góp phần vào một cuộc tranh luận chính sách rộng lớn hơn. Nếu bạn muốn tìm hiểu thêm về nghiên cứu của nhóm và cuộc tranh luận về giám sát và mã hóa, hãy đọc bài viết của chúng tôi về cách Citizen Lab nêu cờ rủi ro mã hóa trong Dự luật C-22 của Canada.

Những điểm chính cần ghi nhớ

Các phát hiện tại Al Jazeera cho thấy phần mềm gián điệp zero-click quảng cáo độc hại là một phương thức phát tán thực tế, không chỉ là lý thuyết. Bạn không thể kiểm soát quảng cáo nào được phục vụ, nhưng bạn có thể kiểm soát mức độ phơi nhiễm của thiết bị mình. Cài đặt bản cập nhật hệ điều hành và trình duyệt ngay khi chúng xuất hiện, sử dụng trình chặn quảng cáo hoặc nội dung, và bật Chế độ Khóa chặt nếu bạn có nguy cơ cao hơn. Tiếp tục sử dụng VPN nếu nó phù hợp với nhu cầu của bạn, nhưng đừng dựa vào nó để ngăn chặn một cuộc tấn công đến qua nội dung mà thiết bị của bạn tải. Để có bối cảnh rộng hơn về công trình của Citizen Lab và cuộc tranh luận về giám sát, hãy xem bài viết của chúng tôi về Dự luật C-22 và rủi ro mã hóa.