Sikkerhedsforsker fra University of Torontos Citizen Lab offentliggør torsdag et chokerende fund: israelsk virksomhed Discover-Tech stiller sin annonceringsplatform til rådighed for producenter af statsspyware, som bruger den til målrettede hack over hele verden. Spyware fra virksomhederne Candiru og Bindecy bliver servet gennem onlineannoncerne uden, at målene skal gøre andet end at se en almindelig internetannonce.
Attackerne er en væsentlig eskalering af det, der længe har været en teoretisk mulighed: at misbruge globale annoncenetværk til at inficere enheder med avanceret statsspyware. Citizen Lab har konkrete tekniske beviser på, at det sker i praksis – og at mindst 45 Windows-computere på nyhedsbureauet Al Jazeera blev hacket via Candiru’s spyware i 2024 og 2025 efter at være blevet eksponeret for disse malvertising-angreb.
“Der har været meget snak om, at onlineannoncerer kan bruges til at identificere og automatisk hacke mål med enorm præcision, men nu har vi for første gang konkret teknisk bevis for, at denne proces fungerer,” siger Bill Marczak, seniorforskter hos Citizen Lab.
Discover-Tech som bro til spyware-økosystemet
Discover-Tech præsenterer sig som et legitimt annoncefirma, men fungerer i praksis som “en bro mellem annonceudbydere og det lukrativt-drevne spyware-økosystem,” konkluderer Citizen Lab. Platformen, som hedder Controlium, var så dårligt sikret, at forskerne kunne rekonstruere dashboardet uden at skulle logge ind – ved simpelthen at finde udsat kildekode på loginsidens offentlige del.
Endnu værre: Citizen Lab fandt offentligt tilgængelige login-oplysninger til Controlium-dashboardet samt milliarder af ad-budgetrecords, som afslørede, at Discover-Tech’s annoncer var blevet vist på titusindvis af mobile apps og websites mellem marts og juni 2026. Disse records viste også, at annoncerne nåede enheder på netværkene i militærer, regeringsorganer, kritisk infrastruktur og cyberagenturer verden over.
Researcher fra annoncekvalitetsplatformen Confiant, som arbejdede sammen med Citizen Lab, fandt desuden beviser på, at potentielt malicious ads blev vist på enheder på netværkene for International Atomic Energy Agency og International Criminal Court.
Forsker advarer mod bred trussel
Citizen Lab har ikke kunnet fastslå, hvilke regeringer der stod bag attackerne. Det er dog det første dokumenterede tilfælde af, at zero-click-spyware fra stater bliver distribueret gennem onlineannoncer – og potentialet for at ramme et enormt antal enheder verden over er derfor enorm.
“Discover-Tech er helt sikkert blot toppen af isbjerget,” siger Marczak og opfordrer mennesker til at tage defensive foranstaltninger. “Hvis du kan være mål baseret på hvem du er eller hvad du laver, er det nu tid til at deaktivere annoncesporing på dine enheder – eller helt at blokere annoncer.”
Mens traditionel malvertising ikke er nyt, markerer brugen af onlineannoncenetværk til at servere statsspyware af zero-click-typen en bemærkelsesværdig eskalering. Annoncenetværk er designet til at hjælpe annoncører med at målrette specifikke mennesker, enheder og organisationer, men kan altså også misbruges til målrettet inficering med stilfærdig statsspyware.
Al Jazeera har ikke svaret på henvendelser om hackene. Heller ikke Discover-Tech eller Candiru-producenten Integrity Labs har kommenteret på Citizen Labs rapport.