広告が表示されるだけで感染するスパイウェア、シチズンラボが初の証拠

オンライン広告が運ぶのは画像だけではない。コードを仕込むこともできる。トロント大学のCitizen Labの研究者たちは今回、そのコードを使い、標的に選んだ人物の端末に、画面を一度もタップさせることなくスパイウェアを送り込む手口を明らかにした。研究所はこの手法をAdFectionと呼ぶ。こうした攻撃を受けても、「何かおかしいとは気づかないでしょう」と、上級研究員のビル・マルチャク（Bill Marczak）はWiredに語った。「実際、広告を一つも目にしない可能性さえあります」

無料アプリをたくさん入れたスマートフォンを使う人にとって、これは見過ごせない問題だ。これまでゼロクリック攻撃の多くは、企業が修正パッチを提供できるメッセージアプリの脆弱性を突いてきた。今回の手口が利用したのは、どの広告を表示するかを決めるごく一般的な仕組みだ。アプリやウェブページが読み込まれるたびに、ほんの一瞬で広告の入札が行われ、その過程ですでに端末の広告IDやIPアドレス、スマートフォンの詳細情報が送られている。

中心にあったのは、イスラエルで登記されたDiscover-Techという企業だ。同社は広告会社を名乗っていた。報告書によると、そのプラットフォームControliumでは、広告ID、ブラウザーのCookie、またはIPアドレスを使って特定の標的を選び、広告が表示された瞬間に、その端末へコードを送り込むことができた。それ以外の人には通常の広告が表示された。Citizen Labは、ニュースネットワークAl Jazeeraを狙った一連の攻撃について、高い確度で、現在はIntegrity Labsを名乗るスパイウェア企業Candiruによるものと結論づけている。放送局内の端末は少なくとも45台が標的となり、感染したWindowsコンピューターの1台からは、Candiruのサーバーを示すファイルが見つかった。

研究者たちが内部に入り込んだ経緯は、どこか笑えてしまう。Controliumのログインページには、ダッシュボードのソースコード一式がそのまま含まれていた。そこでチームはページを保存し、外部サーバーへのリンクを切り離して、すべての画面を有効にした。また、Discover-Techのサーバーには、約40億件にのぼる広告入札記録がほぼ無防備な状態で残されていた。そこには、攻撃者のスクリプトタグを含む広告が、AndroidとiOSのアプリ75,373本、ウェブサイト120,768件に表示されていたことが記録されている。よく知られたサービスも名を連ねる。メッセージアプリのViberでは、Android上でそうした広告が70万回以上表示され、Yahoo Mail、Opera Mini、Duolingoにも掲載されていた。

こうした数字は慎重に読み解く必要がある。画面にDiscover-Techの広告が表示されたからといって、スマートフォンがハッキングされたことにはならないと、研究所は強調する。大半の場合、同社のサーバーはコードをまったく返していなかった。また、入札データが対象とするのは、同社の広告プラットフォームのうち1つだけで、期間も4カ月に限られる。Citizen Labは、Al Jazeeraへの作戦にどの政府が資金を出したのかを明らかにしていない。広告がNATO、国連、複数の欧州機関のネットワークに届いていたという調査結果も、攻撃の到達範囲を示すものであり、感染が確認されたことを意味しない。ノルウェーでは議会と警察のネットワークに、スウェーデンでは軍と送電網運営会社のネットワークに広告が届いていた。一般の人が取れる対策は、どれも決定打とは言いにくい。マルチャクは、「自分が何者か、何をしているかを理由に標的にされる可能性がある」人には、広告トラッキングをオフにするか、広告を全面的にブロックするよう勧めている。

広告業界も対応に乗り出した。GoogleはCitizen Labおよびセキュリティ企業Confiantとの共同調査を受け、Discover-Techを自社の広告プラットフォームからブロックしたと説明。また、同グループに関連するウェブサイトについて、Safe Browsingの警告を追加した。IAB Europeは承認済み広告事業者のリストから同社を停止し、Comcast傘下のBeeswaxも自社プラットフォームから排除した。Discover-TechはWiredとTechCrunchからの問い合わせに回答しなかった。

Citizen Labは2026年10月15日に報告書を公開した。報告書は2024年と2025年に起きたAl Jazeeraへの攻撃と、2026年3月から6月までの入札データを扱っている。研究所がDARK CARTOGRAPHERと呼ぶ別のグループについても、続報が予定されている。同グループは同じインフラを使い、携帯電話事業者の脆弱性を突いて、30カ国以上で端末の広告IDと電話番号を照合していたという。

マルチャクはDiscover-Techについて、「氷山の一角にすぎないのは間違いない」と語る。チームは広告を見つけるために遠くまで調べに行く必要はなかった。研究者たちがCBCやYahooのウェブサイトを読んでいるときや、Android端末で数独ゲームをしているときにも、広告は自分たちの画面に表示された。

タグ: サイバーセキュリティ, AdFection, Candiru, Citizen Lab, Discover-Tech, スパイウェア