Spionprogram spreds via annonser, och Europa bör se reklamtekniken som en säkerhetsrisk

Den 15 oktober publicerade Citizen Lab vid University of Toronto en granskning av det israeliska företaget Discover-Tech. Enligt forskarna låter bolaget tillverkare av statliga spionprogram använda dess annonsplattform Controlium för att nå utvalda personer och enheter. Minst två leverantörer av så kallade nollklicksverktyg, Candiru och Bindecy, ska ha använt den. Sådana verktyg kan ta över en enhet utan att offret öppnar ett meddelande eller klickar på en länk.

Citizen Lab uppger att minst 45 Windowsdatorer hos Al Jazeera infekterades med Candirus spionprogram under 2024 och 2025, efter att ha visat annonser med skadlig kod. Vilka regeringar som låg bakom kunde forskarna inte säga. De beskriver fallet som det första bekräftade där statligt nollklicksspionprogram spridits via nätannonser. Discover-Tech och Al Jazeera svarade inte på frågor från TechCrunch.

Annonsauktionen som leveranskanal

Forskarna hittade data som låg öppet på Discover-Techs webbplats. Där fanns inloggningsuppgifter till Controlium, varav några kopplas till minst två anställda på Candiru och några till Bindecy, samt miljarder poster från annonsbudgivning. Posterna visar att annonser visades i tiotusentals appar och sajter mellan mars och juni 2026, bland annat på enheter som används av militär, myndigheter, kritisk infrastruktur och nationella cybermyndigheter. Säkerhetsföretaget Confiant, som samarbetade med Citizen Lab, säger sig ha hittat möjligen skadliga annonser i nätverk hos Internationella atomenergiorganet IAEA och Internationella brottmålsdomstolen ICC. Om annonserna ledde till intrång är inte känt.

Skadliga annonser är inget nytt. Det nya är precisionen. Annonssystemen finns till för att hitta en viss typ av person eller enhet och visa innehåll utan att mottagaren behöver göra något. Det är precis vad en nollklicksattack kräver. Samma budgivningsdata som berättar för en annonsör vem du är och var du jobbar berättar också för en angripare var den ska sikta.

Varför det här är en europeisk fråga

IAEA ligger i Wien och ICC i Haag. Om skadliga annonser kunde nå deras nätverk står samma väg öppen mot europeiska departement, energibolag och redaktioner, även i Sverige. En tjänsteman som läser nyheter i en app på jobbtelefonen deltar i praktiken i en auktion som vem som helst med ett köparkonto kan ansluta till.

I Europa har annonsriktning mest hanterats som en fråga om integritet och konsumentskydd. Vi anser att det synsättet nu är för snävt. Digital Services Act kräver redan att de största plattformarna bedömer systemrisker, och NIS2-direktivet kräver att samhällsviktiga verksamheter hanterar risker i sina leverantörskedjor. Vi tycker att båda regelverken bör tillämpas så att annonskedjan räknas som en möjlig attackväg. Det skulle innebära att annonsbörser och mellanhänder som når användare i EU kontrollerar vilka som köper smalt riktade visningar, att plattformarnas riskbedömningar omfattar skadlig annonsleverans och att myndigheter och samhällsviktiga aktörer ser annonsspårning på tjänsteenheter som en säkerhetsrisk.

Den starkaste invändningen

En rimlig läsare kan säga att det här handlar om ett enskilt bolag, och att hårdare regler skulle straffa en annonsekonomi som finansierar fri journalistik, inklusive stora delar av svensk press. Kostnaden för granskning skulle drabba små aktörer hårdast, och annonsblockering skadar publicister.

Det tar vi på allvar. Men vi föreslår inget förbud mot riktad reklam. Vi föreslår kundkännedom, ungefär som bankerna redan måste ha. Bill Marczak på Citizen Lab kallar Discover-Tech toppen av ett isberg. Om ett enda bolag kunde få annonser att visas på militära och statliga enheter ser luckan strukturell ut snarare än tillfällig. Och det mest brådskande steget är billigt: att stänga av annonsspårning eller blockera annonser på högriskenheter förstör inte den öppna webben för alla andra.

Mycket är fortfarande oklart. Vi vet inte vilka regeringar som beställde attackerna mot Al Jazeera, om annonserna under 2026 infekterade någon eller hur många liknande plattformar som finns. Håll ögonen på hur annonsbörser som sålt utrymme till Discover-Tech reagerar, och om EU:s tillsynsmyndigheter tar upp frågan.

Vår syn

Vi anser att nätannonseringen har blivit en attackyta som rör nationell säkerhet, och att Europa bör reglera den därefter. Data för annonsriktning och granskning av annonsköpare hör hemma i säkerhetsregler som DSA och NIS2, inte bara i integritetsdebatten. Fram till dess bör organisationer med känslig verksamhet följa Citizen Labs råd och stänga av annonsspårning eller blockera annonser på jobbenheter.