Sebastian Juul
Du behöver inte trycka på något, bara att annonsen visas på skärmen räcker för att iPhonen ska infekteras.
Militärklassad spionprogramvara som tidigare bara användes av stater har börjat levereras av kriminella aktörer via vanliga reklamannonser på vanliga webbplatser och appar. Apple har sedan slutet av oktober skickat ut en ny våg av hotvarningar till användare i 99 länder, bland annat till ledamöter i tyska förbundsdagen.
Tekniken bygger på att en annons visas för rätt enhet. Operatörerna köper annonsplats via programmatiska marknadsplatser, låter koden identifiera måldevicen utifrån annons-ID, cookies och IP-adress, och kör sedan en webbläsar-exploit direkt i annonsramen. Ingen klickning, ingen länk, ingen varning.
Citizen Lab dokumenterade metoden
Forskargruppen Citizen Lab vid University of Toronto publicerade den 15 oktober 2026 rapporten Exposing AdFection, som för första gången dokumenterar zero-click-spionprogram levererat via reklamannonser. Attackerna kopplas med hög säkerhet till det israeliska spionprogramföretaget Candiru.
Som kanal använde operatörerna den israeliska annonsfirman Discover-Tech och dess plattform Controlium. ”Controlium enables these firms to mass-profile and deanonymize millions of users, and then covertly hack individual targets by sending them seemingly-benign ads containing zero-click exploits to install spyware on their devices”, skriver Citizen Lab i sammanfattningen.
Det mest konkreta exemplet är mediehuset Al Jazeera, där minst 45 enheter infekterades via Discover-Techs annonser under 2024 och 2025.
Svenska nät fanns i annonsflödet
För svenska läsare finns en konkret lokal koppling i rapporten. Citizen Lab identifierade visningar av Discover-Techs annonser på nätverk hos bland annat den svenska Försvarsmakten, Svenska Kraftnät, Vattenfall, internetknutpunkten Netnod, försvarskoncernen Saab, Volvo Group och Chalmers tekniska högskola.
Att en annons har visats på ett nätverk innebär inte att någon där faktiskt har infekterats, Citizen Lab understryker själva att en annonsvisning inte är ett bevis på att enheten har angripits. Men det visar att Discover-Techs infrastruktur hade fri räckvidd in i känsliga svenska miljöer under det första halvåret av 2026.
Bill Marczak: ”första konkreta tekniska beviset”
Anledningen till att forskningen beskrivs som ett genombrott är att metoden länge varit en teoretisk möjlighet. ”There has been a lot of buzz that online ads can be used to identify and automatically hack targets with pinpoint precision, but now for the first time, we have concrete technical evidence showing this process in action”, sa Bill Marczak, senior forskare vid Citizen Lab, till TechCrunch i samband med publiceringen.
Attackmetoden har samtidigt spridit sig utanför den statliga sfären. Säkerhetsföretaget iVerify dokumenterar i sin årsrapport hur ett läckt exploitkit vid namn DarkSword, ursprungligen framtaget för statliga kunder, hamnade på GitHub i mars 2026 och nu används av kriminella mot vanliga iPhone-användare. Ett dokumenterat fall gäller en anställd som fick exploitkitet levererat genom en Instagram-annons medan personen scrollade. Enligt iVerify var iOS 18.4.0 till och med 18.7.2 sårbara för den aktuella kedjan.
Så uppdaterar du
Apple släppte den 9 november 2026 säkerhetsuppdateringarna iOS 27.2.1, 26.7.3 och 18.7.12, som adresserar flera av de sårbarheter som den här typen av annonsleverad kod kan utnyttja, bland annat en minneshanteringsbugg i Brotli-komprimeringsbiblioteket (CVE-2026-111497) som finns upptagen på den amerikanska cybermyndigheten CISA:s lista över sårbarheter som utnyttjas aktivt.
Du installerar uppdateringen under Inställningar → Allmänt → Programuppdatering. Är iPhonen äldre och sitter kvar på iOS 18-grenen heter uppdateringen 18.7.12. För användare som bedömer sig vara särskilt utsatta rekommenderar Apple fortfarande Isoleringsläge (Lockdown Mode), som stryper annonsvisning i Safari, bifogade filer i Meddelanden och flera andra potentiella angreppsvägar.
