Israelisk annonsplattform kopplas till spionprogram – nådde Försvarsmakten, Svenska kraftnät och Saab

Miljontals telefoner och datorer dirigerades genom annonser till servrar kopplade till kommersiella spionprogram. Bland de svenska nätverk där annonserna visades finns Försvarsmakten, Svenska kraftnät, Vattenfall och Saab. Det bevisar inte att svenska enheter infekterades – men det avslöjar att det globala annonssystemet kan användas som infrastruktur för kartläggning och spionage. Vad vet svenska myndigheter?

Redaktionen, S. Kling, VIGRANSKAR

19 oktober 2026 – Nyhetsfördjupning och analys.

Vanliga annonser på webbplatser och i mobilappar har använts för att kartlägga användare och leverera spionprogram utan att offret behövt klicka på någonting.

Det framgår av en omfattande teknisk undersökning från Citizen Lab vid University of Toronto och cybersäkerhetsföretaget Confiant.

I centrum står det israeliska företaget Discover-Tech, som utåt har presenterat sig som ett reklamteknikföretag. Enligt forskarna har bolagets plattform Controlium fungerat som en förbindelse mellan den globala annonsmarknaden och företag som säljer avancerade spionprogram.

Citizen Lab kallar metoden AdFection.

Undersökningen visar att annonser kopplade till Discover-Tech inte bara nådde vanliga nyhetssajter, appar och privata användare. Annonsvisningar registrerades även på enheter anslutna till känsliga svenska nätverk.

Bland de utpekade verksamheterna finns:

• Försvarsmakten,
• Svenska kraftnät,
• Vattenfall,
• Saab,
• Netnod,
• Volvo,
• Chalmers tekniska högskola,
• Vinnova,
• och SMHI.

Det betyder inte att dessa organisationers system bevisligen har hackats.

Men det betyder att den misstänkta infrastrukturen nådde fram till nätverk med stor betydelse för Sveriges försvar, elförsörjning, industri och digitala kommunikationer.

Fyra miljarder annonsregister

Forskarna analyserade närmare fyra miljarder register från Discover-Techs annonsbudgivning.

Materialet visade att bolagets annonser under en fyramånadersperiod hade förekommit på nästan 200 000 olika webbplatser och appar för Android och IOS i ett stort antal länder.

Miljontals enheter dirigerades i bakgrunden till servrar kopplade till spionprogramsföretaget Candiru, som senare har bytt namn till Integrity Labs. Enligt Citizen Lab användes kontakterna sannolikt för omfattande kartläggning och förberedande rekognosering.

Systemet kunde samla in uppgifter som:

• enhetens IP-adress,
• identifierare från annonsmarknaden,
• webbläsarens tekniska egenskaper,
• kakor och andra spårningsuppgifter,
• samt information som kunde användas för att känna igen samma användare i olika sammanhang.

På så sätt kunde en operatör först kartlägga en stor mängd användare och därefter välja ut vissa enheter för ett mer avancerat angrepp.

Ingen behövde klicka

Traditionella nätbedrägerier försöker ofta få användaren att öppna en länk eller ladda ned en fil.

AdFection fungerade annorlunda.

När Discover-Tech vann en automatisk budgivning om en annonsplats kunde annonsen laddas på en webbplats eller i en app. I vissa fall syntes den på skärmen. I andra fall kunde den laddas i bakgrunden.

Annonsen kontaktade därefter Discover-Techs servrar. Om användaren inte var utvald kunde systemet nöja sig med att samla in tekniska uppgifter.

Om enheten däremot bedömdes vara ett intressant mål kunde ytterligare kod skickas tillbaka. Angreppet kunde därmed fortsätta utan något klick från användaren.

Det är denna egenskap som gör tekniken särskilt allvarlig.

En journalist, tjänsteman eller militär medarbetare behövde inte öppna ett misstänkt mejl eller besöka en uppenbart skadlig webbplats. Det kunde räcka att en vanlig annons laddades i en till synes oskyldig app eller på en etablerad nyhetssajt.

Bekräftade angrepp mot Al Jazeera

Forskarna har kunnat följa tekniken i verkliga angrepp mot det internationella mediebolaget Al Jazeera under 2024 och 2025.

Minst 45 enheter inom organisationen utsattes enligt Citizen Lab för riktade försök. Genom nätverksloggar kunde forskarna följa en kedja från Discover-Techs annonsinfrastruktur till servrar som kontrollerade enheterna och vidare till Candirus styrsystem för spionprogram.

Det är den första offentligt dokumenterade tekniska bekräftelsen av att kommersiellt spionprogram har levererats genom riktade annonser utan att användaren behövt klicka.

Journalister är särskilt utsatta mål. Ett spionprogram kan ge angriparen tillgång till kommunikation, kontakter, rörelsemönster, möten och källor.

Men samma teknik kan riktas mot politiker, diplomater, militärer, företagsledare, forskare eller personer som arbetar med kritisk infrastruktur.

Nätverk är inte samma sak som infekterade myndighetsdatorer

Här krävs en viktig avgränsning.

Att en annons visades på en enhet som använde exempelvis Försvarsmaktens eller Svenska kraftnäts nätverk bevisar inte att organisationens egna tjänstedatorer infekterades.

En annonsvisning kan ha kommit från en anställd, konsult, besökare eller privat enhet som varit ansluten till nätverket. Det publicerade materialet visar inte vem användaren var eller vem som ägde enheten.

Citizen Lab betonar också att en registrerad annonsvisning inte i sig bevisar att användaren var ett särskilt mål eller att spionprogram installerades.

Forskarna bedömer däremot att annonsvisningarna åtminstone möjliggjorde teknisk profilering. I vissa fall kan kod från Candiru eller andra aktörer ha körts på enheten.

Den korrekta slutsatsen är därför inte att Försvarsmakten, Saab eller Svenska kraftnät bevisligen har hackats.

Den korrekta slutsatsen är att en infrastruktur kopplad till kommersiellt spionprogram nådde enheter inom deras nätverk – och att det nu måste utredas om någon svensk enhet valdes ut eller infekterades.

Även Nato, FN och EU berördes

Undersökningen fann motsvarande annonsvisningar inom nätverk som tillhörde eller var kopplade till:

• Nato,
• Förenta nationerna,
• Europaparlamentet,
• EU-kommissionen,
• och EU-rådets generalsekretariat.

Även myndigheter, försvarsmakter och kritisk infrastruktur i Norge, Danmark, Australien och andra länder förekommer i materialet.

Det har i delar av rapporteringen beskrivits som att Natos och EU webbplatser visade de aktuella annonserna.

Det är inte en tillräckligt exakt beskrivning.

Citizen Labs rapport talar om annonsvisningar på enheter inom institutionernas nätverk. Det är något annat än att Nato eller EU själva skulle ha publicerat annonserna på sina officiella webbplatser.

Skillnaden är viktig – men säkerhetsproblemet kvarstår.

Den lagliga annonsmarknaden blev transportväg

Discover-Tech behövde enligt forskarna inte bygga ett eget distributionssystem.

Företaget använde den befintliga marknaden för automatiserad annonsering, där annonsplatser säljs på bråkdelar av en sekund genom så kallad realtidsbudgivning.

Discover-Tech fanns på listor över godkända eller certifierade leverantörer och kunde förmedla annonser genom stora aktörer som Google, Yandex och Beeswax.

Det gav företaget tillgång till en enorm global infrastruktur som redan fanns inne i människors telefoner, appar och webbläsare.

Den verkligt allvarliga frågan är därför större än ett enskilt israeliskt företag.

Hur kunde en aktör med kopplingar till spionprogramsindustrin godkännas och under flera år använda det etablerade annonssystemet för att kartlägga människor?

Google och andra stängde av företaget

Efter att forskarna delat sina resultat vidtog flera företag åtgärder.

Google tog bort Discover-Tech från sitt register över annonsleverantörer och avslutade bolagets tillgång till Googles annonsbörser. Branschorganisationen IAB Europe tog också bort företaget från sina listor.

Beeswax stängde av Discover-Tech från sin annonsplattform. Vungle pausade bolagets tillgång och Eskimi blockerade konton och domäner som kopplades till verksamheten.

Confiant konstaterar samtidigt att avstängningarna inte löser det underliggande problemet. De tekniska och kommersiella förutsättningar som gjorde övervakningen möjlig finns fortfarande kvar i annonsmarknaden.

Discover-Tech och Candiru/Integrity Labs hade enligt Citizen Lab inte besvarat forskarnas frågor inom den angivna svarstiden.

Det är inte heller klarlagt vilka stater eller underrättelseorgan som kan ha köpt eller använt tjänsterna.

Vad visste svenska myndigheter?

Den svenska delen av avslöjandet väcker frågor som inte kan besvaras genom Citizen Labs rapport.

Det behöver klarläggas:

• När informerades Försvarsmakten och övriga svenska organisationer?
• Har svenska telefoner eller datorer undersökts tekniskt?
• Har några infektioner eller försök till infektion identifierats?
• Var enheterna myndigheternas egna eller privatägda?
• Har Säkerhetspolisen eller den militära underrättelse- och säkerhetstjänsten inlett utredningar?
• Har svenska nätverk fortsatt kontakt med Discover-Techs eller Candirus infrastruktur efter att rapporten publicerades?
• Tillåts vanliga annonser över huvud taget på känsliga myndighetsenheter?
• Blockeras reklamnätverk centralt i Försvarsmaktens och samhällsviktiga företags system?

Citizen Lab rekommenderar att annonser och spårning blockeras på statliga enheter och vid myndigheternas nätverksgränser.

Om känsliga svenska verksamheter saknar sådana skydd är det i sig en säkerhetsfråga.

Vad vet vi?

Bekräftat:

• Discover-Tech är ett israeliskt företag som har verkat inom digital annonsering.
• Citizen Lab kopplar företagets infrastruktur till leverans av kommersiellt spionprogram.
• Närmare fyra miljarder annonsregister analyserades.
• Annonserna förekom på nästan 200 000 webbplatser och appar.
• Miljontals enheter dirigerades till servrar kopplade till Candiru.
• Minst 45 enheter inom Al Jazeera utsattes för riktade angrepp.
• Infektioner genom annonser har tekniskt bekräftats.
• Annonsvisningar registrerades inom nätverk hos flera svenska säkerhetskänsliga verksamheter.
• Google och flera andra annonsaktörer har därefter stängt av Discover-Tech.

Inte bekräftat:

• Att miljontals enheter infekterades.
• Att Försvarsmaktens, Svenska kraftnäts eller Saabs egna enheter infekterades.
• Att varje registrerad annonsvisning var ett riktat spionageförsök.
• Vilka regeringar eller underrättelsetjänster som använde systemet.
• Hur många svenska personer eller enheter som kartlades.
• Om någon svensk telefon fortfarande är infekterad.

Ett system byggt för reklam blev ett system för övervakning

Avslöjandet visar hur den digitala annonsmarknaden har utvecklats till någonting betydligt större än ett sätt att sälja varor.

Systemet kan känna igen enheter, följa människor mellan olika tjänster och samla information om deras beteende. Samma tekniska möjligheter som används för att visa en riktad reklamannons kan också användas för att välja ut ett mål för spionage.

Det är därför missvisande att beskriva saken som enbart ett dataintrång.

Det handlar om en laglig, global och nästan osynlig övervakningsinfrastruktur som har kunnat utnyttjas av företag i den kommersiella spionprogramsindustrin.

Discover-Tech har nu stängts ute från flera stora annonsplattformar.

Men systemen som släppte in företaget finns kvar.

För Sverige återstår den viktigaste frågan:

Nådde annonserna bara fram till svenska nätverk – eller tog sig spionprogrammet också in i svenska enheter?