Reklamer blev til spionvåben: Ny rapport dokumenterer zero-click spyware leveret gennem almindelige onlineannoncer. Du behøver blot at få vist en reklame.
For første gang er det offentligt og teknisk dokumenteret, at kommerciel spionsoftware er blevet installeret på telefoner og computere alene ved, at en målrettet reklame blev vist på skærmen. Offeret behøvede ikke at klikke på noget. Forskerne kalder teknikken AdFection, og bag annoncerne står et israelsk firma, der i seks år har været godkendt af både Google og annoncebranchens europæiske brancheorganisation. Det skriver ICARE.DK på baggrund af en artikel ved University of Toronto, Canada.
Kilde: skriver Citizen Lab ved University of Toronto i rapport nr. 195, som blev offentliggjort 15. oktober 2026.
Rapporten er skrevet af Bill Marczak, Wolfie Christl, John Scott-Railton, Astrid Perry, Siena Anstis og Ron Deibert, og den er udgivet samtidig med en parallel undersøgelse fra det amerikanske cybersikkerhedsfirma Confiant, der overvåger annoncebranchens forsyningskæde for ondsindet indhold.
Sådan virker AdFection
Når man ser en reklame i en app eller på en hjemmeside, er den som regel resultatet af en auktion, der er afgjort på under et sekund. Telefonen eller browseren sender en budanmodning ud med oplysninger om enheden, og annoncører byder på retten til at vise netop den bruger netop den annonce. Budanmodningerne kan indeholde enhedens reklame ID, IP adresse, placering og oplysninger om den app eller side, brugeren befinder sig på.
Det afgørende er, at en annonce ikke bare er et billede. Den kan indeholde programkode, som afvikles i appen eller browseren, i det øjeblik annoncen vises. Citizen Lab dokumenterer, at Discover-Techs annoncer indeholdt et script, der ringede hjem til firmaets egen server med brugerens reklame ID.
For langt de fleste brugere sendte serveren intet tilbage. Men var enheden udvalgt som mål, returnerede serveren kode, der kunne hente et browserexploit og installere spyware. Annoncen kunne endda vises i baggrunden, uden at brugeren nogensinde så den.
Fordi den ondsindede kode kun udleveres til den udvalgte enhed og kun én gang, ser annoncen helt harmløs ud for de annonceplatforme, medier og app udviklere, der viser den.
“Denne form for Spyware omtales alt for sjældent. Du behøver ikke klikke, det er nok at den vises. Den kommende undersøgelse fra universitetet vil formentligt vise at mange mobile brugere allerede har en eller anden form for høstning af telefonnumre eller spyware som følgende visninger alene. Vi bliver meget klogere når undersøgelsen viser omfanget.”
Det siger Jesper Christiansen, Agil Udvikling A/S og ICARE SECURITY A/S.
Al Jazeera blev ramt
Ifølge Citizen Lab blev mindst 45 enheder hos nyhedsnetværket Al Jazeera angrebet i 2024 og 2025. Al Jazeera udleverede netværkslogfiler, der viser samme mønster hver gang: først kontakt til et Discover-Tech domæne, altså en annoncevisning, dernæst kontakt til en såkaldt validatorserver, der tjekker enheden, og til sidst kommunikation med en kommandoserver.
Al Jazeera isolerede en Windows fil fra en af de kompromitterede enheder. Citizen Lab sammenlignede den med spyware fra det israelske firma Candiru, som forskerne opfangede i 2021, og fandt så mange tekniske fællestræk, at de med høj sikkerhed konkluderer, at det er en nyere version af Candirus angrebskæde. Candiru har siden skiftet navn til Integrity Labs.
Et annoncefirma med rødder i spionindustrien
Discover-Tech Ltd blev registreret i Israel i marts 2020 og ledes af Dekel Boni, der har en baggrund i digital annoncering. Ifølge israelske selskabsregistreringer, som Citizen Lab har gennemgået, sad Eric Banoun i bestyrelsen fra 2020 til januar 2025. Banoun er medstifter af overvågningsfirmaet Circles, som er tæt knyttet til NSO Group, og af Senpai Technologies, der indgår i Intellexa konsortiet. Frem til marts 2026 var et selskab på De Britiske Jomfruøer blandt aktionærerne, og ifølge avisen Haaretz har det selskab forbindelse til en person, der har administreret Intellexas selskabsnetværk.
Firmaet driver en platform kaldet Controlium, som ifølge rapporten giver kunderne et kontrolpanel, hvor de kan udvælge mål ud fra reklame ID, browser ID eller IP adresse og sende dem såkaldte kontrollerede annoncer. Citizen Lab kobler platformen til tre aktører i overvågningsindustrien:
| Aktør | Hvad rapporten kobler til Discover-Tech |
|---|---|
| Candiru / Integrity Labs | Spyware leveret via annoncer, bl.a. mod Al Jazeera |
| Bindecy | Israelsk hackingfirma, hvis brugere loggede ind på Controlium |
| Intelos | Firma der sælger overvågning baseret på annoncedata (ADINT) |
Omfanget i tal
Citizen Lab fandt to offentligt tilgængelige databaser på et af Discover-Techs domæner med næsten fire milliarder budregistreringer fra firmaets annonceplatform MyDSP.
| Nøgletal (marts til juni 2026) | Værdi |
|---|---|
| Antal bud på annoncevisninger | 3.770.286.576 |
| Vundne auktioner | 441.954.291 (11,7 %) |
| Bud med script til Discover-Techs server | ca. 718,7 mio. (ca. 19 %) |
| Apps der viste disse annoncer | 75.373 |
| Hjemmesider der viste disse annoncer | 120.768 |
| Lande med bud | 161 |
| Andel af bud i mobilapps | 76,7 % |
| Registreret annonceforbrug | ca. 109.091 USD |
Det lave forbrug er i sig selv bemærkelsesværdigt. Forskerne fandt ingen tegn på, at firmaet tjente penge på at vise reklamer for rigtige annoncører. Langt de fleste annoncer reklamerede for firmaets egne sider eller viste en generisk tilbudsreklame med AliExpress affiliatelinks, og databasen registrerede hverken omsætning eller køb.
Annoncerne blev vist i populære apps som MX Player, Viber, Truecaller, Yahoo Mail, Opera Mini og Duolingo og på sider som Yahoo, Weather.com, AccuWeather og TripAdvisor. Blandt de nyhedssider, der viste et større antal af annoncerne, nævnes danske bt.dk.
Men i en undersøgelse nærmere viser det sig, at det ikke kun er bt.dk. Ifølge Citizen Lab blev Discover-Techs annoncer vist på netværk hos:
- Banedanmark
- Post Danmark
- Forskningsnettet
- flere kommunale og regionale netværk
- sundhedsmyndigheder
- KMD
- Vestas
- Ørsted
- Grundfos
- Danske Bank og
- Københavns Lufthavne.
Bt.dk nævnes fordi de er blandt de nyhedssites, hvor et større antal af annoncerne blev vist, og forskerne fandt visninger på netværk hos tre danske medieorganisationer. Målt pr. indbygger ligger Danmark som nummer ni på listen over lande med flest bud.
Rapporten understreger dog selv, at en annoncevisning ikke i sig selv beviser, at nogen er blevet ramt eller inficeret med spyware, men at omfanget kræver nærmere undersøgelse.
Confiant vurderer, at Discover-Tech viser omkring 10 millioner annoncer om dagen, og at firmaets annoncer er set i 228 lande. Det skriver Confiant, som også dokumenterer, at annoncerne på over 1.000 mediers hjemmesider opsamlede sidernes egne cookies, i nogle tilfælde inklusive aktive login sessioner, navne og e-mailadresser, og at det skete selv uden samtykke efter GDPR.
NATO, EU og Norden
Citizen Lab fandt annoncevisninger på netværk hos NATO, FN, Europa-Parlamentet, EU-Kommissionen og Rådets generalsekretariat. Forskerne fremhæver en nordisk klynge, som efter deres vurdering bør undersøges nøje.
| Land | Eksempler på netværk med Discover-Tech annoncer |
|---|---|
| Danmark | Banedanmark, Post Danmark, Forskningsnettet, KMD, Vestas, Ørsted, Grundfos, Danske Bank, Københavns Lufthavne, kommuner, regioner og sundhedsmyndigheder |
| Norge | Stortinget, Digitaliseringsdirektoratet, Nasjonal kommunikasjonsmyndighet, politiet, Kripos, kommuner i Nordnorge nær militære anlæg |
| Sverige | Forsvarsmakten, Svenska kraftnät, Vattenfall, Netnod, Saab, Volvo Group, Chalmers |
Målt pr. indbygger ligger Danmark som nummer ni blandt de lande, hvor annoncerne med det mistænkelige script oftest blev budt ind.
Rapporten fandt desuden visninger hos tre danske medieorganisationer og hos chipproducenter som Intel, Nvidia, Texas Instruments, Broadcom og ARM. Confiant har i sine egne data fundet visninger på netværk hos bl.a. det amerikanske forsvarsministerium, Det Internationale Atomenergiagentur og Den Internationale Straffedomstol.
Forskerne understreger, at en annoncevisning ikke i sig selv beviser, at en bruger er udvalgt eller inficeret. Men alene det, at annoncerne kunne nå ind på så mange sikkerhedsfølsomme netværk, viser efter deres vurdering en systemisk risiko, der kræver opfølgende undersøgelser.
Telefonnumre afsløret i stor skala
Rapporten afdækker også en anden aktør, som forskerne kalder DARK CARTOGRAPHER. Den bruger Discover-Techs infrastruktur til at udnytte svagheder hos mobiloperatører i mere end 30 lande, så en telefons reklame ID kan kobles til ejerens telefonnummer. Teknikken misbruger blandt andet de løsninger, som operatører bruger til login uden adgangskode. Ifølge Citizen Lab har aktøren gjort det siden mindst 2019, og en separat rapport er på vej, når operatørerne er blevet orienteret.
Godkendt af Google og IAB Europe
Fra 2020 til 2026 stod Discover-Tech på Googles lister over certificerede og godkendte annonceleverandører og på IAB Europes globale leverandørliste til samtykkerammen TCF. Det gav firmaet et legitimt ydre og adgang til annoncemarkedet i stor skala, og firmaet brugte ifølge rapporten netop GDPR samtykkerammen til at målrette brugere i EU.
Efter at være blevet præsenteret for resultaterne fjernede Google og IAB Europe i starten af oktober 2026 firmaet fra deres registre, og Google lukkede adgangen til sine annoncebørser. Beeswax fjernede firmaet fra sin platform, Vungle (Liftoff) satte adgangen på pause, og Eskimi blokerede firmaets konti. Andre annonceleverandører har ikke svaret. Citizen Lab opfordrer myndighederne til at undersøge, om Discover-Tech og Candiru har overtrådt gældende lovgivning.
Hvad betyder det for virksomheder og ledere
Det klassiske råd om ikke at klikke på mistænkelige links er stadig rigtigt, men det beskytter IKKE mod AdFection. For ledere, rådgivere og virksomheder med internationale forretninger, der kan være interessante mål, er det værd at overveje:
- Bloker annoncer på arbejdsenheder, enten med en DNS filtreringstjeneste på netværket eller med en indholdsblokker i browseren.
- Undgå gratis, annoncefinansierede apps på telefoner, der bruges til fortrolig kommunikation. Betalte versioner uden reklamer reducerer angrebsfladen.
- Nulstil eller slet enhedens reklame ID. På iPhone slås sporingsanmodninger fra under Anonymitet og sikkerhed, og på Android kan annonce ID slettes under Anonymitet.
- Slå iPhones Låst tilstand (Lockdown Mode) eller Androids avancerede beskyttelse til for personer med høj risikoprofil.
- Hold styresystem og browser opdateret, da angrebene i sidste ende kræver en sårbarhed i browseren.
- Mediehuse og app udviklere bør gennemgå, hvilke annonceleverandører der får lov at afvikle kode på deres platforme. Et GDPR samtykke eller en certificering er ikke en garanti.
Sagen viser, at annonceøkosystemet ikke længere kun er et spørgsmål om privatliv og markedsføring, men om informationssikkerhed og i yderste konsekvens om national sikkerhed.
Midlertidig løsning
“Vi kan i firewalls, content firewalls m.v. indstille indhold til ikke at omfatte disse annonce netværk, men det kræver manuelle indtastninger indtil videre. Udrulninger kan ske globalt for sådanne regler. Men der opstår hele tiden nye annoncenetværk, og det er et sted hvor vi har lavet APPS der automatisk enten fjerner alle reklamer, eller fjerner dele af det. Vi anbefaler, at man helt fjerner samtlige annoncer fra alle browsere.”
siger Jesper Christiansen, ICARE SECURITY A/S.
Hvem er Citizen Lab, University of Toronto
Citizen Lab er en uafhængig forskningsenhed ved University of Toronto i Canada, der efterforsker, hvordan digital teknologi bruges til overvågning, censur og angreb på menneskerettigheder, demokrati og global sikkerhed. Det skriver Citizen Lab selv på sin hjemmeside.
| Fakta | Citizen Lab |
|---|---|
| Hjemsted | Munk School of Global Affairs & Public Policy, University of Toronto, Canada |
| Grundlagt | 2001 |
| Stifter og leder | Professor Ronald J. Deibert, statskundskab |
| Fagligheder | Jura, datalogi, cybersikkerhed, statskundskab og samfundsvidenskab |
| Publikationer | Over 180 fagfællebedømte forskningsrapporter siden 2001 |
| Finansiering | Private fonde og forskningsråd, bl.a. Ford Foundation, MacArthur Foundation, Open Society Foundations, Hewlett Foundation, Oak Foundation og Canadas forskningsråd SSHRC |
| Priser | Bl.a. MacArthur Award for Creative and Effective Institutions (2014) og Electronic Frontier Foundation Pioneer Award (2015) |
Hvorfor de er vigtige
Som universitetsenhed arbejder Citizen Lab uafhængigt af regeringer og virksomheder, og deres rapporter er blandt de mest citerede kilder i verden om kommerciel spyware. De har blandt andet stået bag afsløringerne af NSO Groups Pegasus spyware, herunder de sikkerhedshuller i iPhone, som fik Apple til at udsende hasteopdateringer i 2016 og 2021, afsløringerne af Intellexas Predator spyware og den første kortlægning af Candiru i 2021 sammen med Microsoft. Seniorforsker Bill Marczak, der er hovedforfatter på AdFection rapporten, og John Scott-Railton er blandt de mest kendte forskere på området. Det giver rapporten om Discover-Tech høj troværdighed, også fordi Google samarbejdede om undersøgelsen og handlede på resultaterne.
Kilde: Who We Are, The Citizen Lab
Kilder
| Kilde: | Citizen Lab, Confiant, Jesper Christiansen, ICARE A/S. |
| Kildelinks: | https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/ , https://blog.confiant.com/p/adint-weaponized-ad-tech-for-zero-click-spyware-and-mass-identity-vacuuming |
| Fotokredit: | Citizen Lab ved universitetet i Toronto, Canada |
| Personer/Firmaer/Emner/#: | #AdFection, #Spyware, #ZeroClick, #CitizenLab, #Confiant, #DiscoverTech, #Candiru, #IntegrityLabs, #Bindecy, #Intelos, #AlJazeera, #BillMarczak, #Google, #IABEurope, #GDPR, #NATO, #EUKommissionen, #Banedanmark, #Vestas, #Ørsted, #DanskeBank, #Cybersikkerhed, #Annonceteknologi |
| Copyrights: | Ⓒ 2026 Copyright by ICARE.DK, kan deles ved aktivt link til denne artikel. |
