Stačilo otevřít web nebo aplikaci, kde se zobrazila reklama. Torontská Citizen Lab poprvé technicky doložila, že se přes cílenou online reklamu dá do zařízení dostat špionážní software bez jediného kliknutí. Cílem byla televize Al-Džazíra. V datech ze zprávy se ale objevuje i Česko – sítě ministerstev, ČNB a NÚKIB.

Citizen Lab, výzkumné pracoviště Torontské univerzity zaměřené na komerční špehování, zveřejnila 15. října zprávu o kampani, kterou nazvala AdFection. Podle ní se v letech 2024 a 2025 útoky zaměřily nejméně na 45 zařízení v síti Al-Džazíry. Vzorek, který televize z jednoho napadeného zařízení izolovala, je knihovna pro Windows; výzkumníci ho s vysokou jistotou přiřazují izraelskému výrobci spywaru Candiru, dnes vystupujícímu jako Integrity Labs. Nákaza telefonů v Al-Džazíře doložená není. Reklamy, přes které útoky šly, se ale zobrazovaly hlavně v mobilních aplikacích.

Reklama jako doručovací služba

Reklamy podle zprávy nakupovala izraelská firma Discover-Tech. Navenek působí jako běžná reklamní společnost, Citizen Lab ji však popisuje jako prostředníka pro několik dodavatelů špionážních nástrojů. Provozuje platformu Controlium, která z údajů z reklamních aukcí – reklamního identifikátoru, IP adresy, polohy – pozná konkrétní cíl a ve chvíli vykreslení reklamy může spustit nákazu. Většina lidí, kterým se reklama zobrazí, vybraná není; i tak ale reklama sbírá data z jejich prohlížeče a posílá je firmě zpět.

Výzkumníci získali přes čtyři miliardy záznamů z aukcí. Za čtyři měsíce se reklamy Discover-Tech objevily na téměř 200 tisících webů a aplikací. Mezi březnem a červnem 2026 se reklamy zobrazily ve více než 70 tisících mobilních aplikací a na více než 120 tisících webech, mimo jiné v aplikacích Viber, Duolingo nebo Yahoo Mail.

Česká stopa

Pro českého čtenáře je nejdůležitější tabulka v pátém oddílu zprávy. Mezi vládními sítěmi, kde se reklamy Discover-Tech zobrazily, uvádí Citizen Lab u Česka ministerstva financí, zahraničí, vnitra, zemědělství a práce a sociálních věcí, Státní ústav pro kontrolu léčiv, Český telekomunikační úřad, Českou národní banku, Magistrát hlavního města Prahy i Národní úřad pro kybernetickou a informační bezpečnost. Podle počtu nabídek v aukcích na obyvatele je Česko v datech na osmém místě na světě (tabulka 5).

Důležitá výhrada: zobrazení reklamy samo o sobě neznamená nákazu. Výzkumníci to výslovně uvádějí a vyzývají k prošetření, zda byl někdo v těchto sítích skutečně napaden. Minimálně ale podle nich došlo k profilování uživatelů. Zpráva navíc zmiňuje, že se dva uživatelé napojení na Candiru přihlašovali do Controlia i z Česka a že izraelská firma Bindecy, se kterou zpráva Discover-Tech spojuje, má od roku 2025 dceřinou společnost registrovanou v Česku.

Certifikace, které nic nezastavily

Discover-Tech byla podle zprávy na seznamech „certifikovaných“ a „schválených“ dodavatelů Googlu i sdružení IAB Europe a využívala souhlasové rámce podle GDPR, aby mohla cílit na uživatele v EU. Po upozornění ji Google, IAB Europe, Beeswax, Vungle (Liftoff) a Eskimi od svých systémů odpojily.

Tady je jádro problému. Infrastruktura, kterou Citizen Lab popisuje, stojí na stejném reklamním systému, jaký financuje většinu bezplatného internetu včetně českých webů. Dosud se o cílené reklamě mluvilo hlavně jako o otázce soukromí. AdFection ukazuje, že tatáž data mohou posloužit jako zaměřovač.

Jak se bránit

• Počítač: aktualizujte operační systém i prohlížeč a zvažte blokování reklam či skriptů v prohlížeči. Zero-click útoky stojí na chybách v softwaru.
• Telefon: v iPhonu zakažte aplikacím sledování (Nastavení → Soukromí a zabezpečení → Sledování), v Androidu smažte reklamní ID (Nastavení → Soukromí → Reklamy).
• Organizace: úřady a firmy mohou reklamní domény blokovat na úrovni sítě. Po zveřejnění zprávy dává smysl prověřit síťové logy na kontakt s doménami, které Citizen Lab uvádí.
• Rizikové profese: novináři či právníci s iPhonem mohou zapnout Režim izolace (Lockdown Mode).

Zdroje

• Citizen Lab: How Discover-Tech turned targeted ads into a pipeline for spyware (15. 10. 2026)
• Ars Technica: Targeted ads delivered 0-click exploits to install mercenary malware (15. 10. 2026)

Foto: Jules Verne Times Two, Wikimedia Commons, CC BY-SA 4.0