Citizen Labの研究者は、クリックを必要とせず、標的型オンライン広告を通じて送り込まれた傭兵型スパイウェアについて、初めて公に確認された事例を記録した。AdFectionと呼ばれるこの手法は、Al Jazeeraの端末をCandiruスパイウェアに感染させるために使われた。
この報道機関では、2024年と2025年に少なくとも45台の端末が標的となった。研究者は、攻撃について、Citizen Labが複数の監視ベンダーの業務を仲介していたとするイスラエル企業Discover-Techが購入した悪意ある広告との関連性が極めて高いと結論付けた。研究者は感染を確認したが、標的となった45台すべてが侵害されたことまでは立証していない。
リアルタイムの広告オークションでは、毎日数千億件の入札が処理されている。Citizen Labが10月15日に公開した調査によると、そのインフラは数百万人のユーザーをプロファイリングし、選ばれた標的に気付かれないままスパイウェアを配信するために使われていた。
AdFectionのゼロクリック・スパイウェア攻撃とは
AdFectionは、オンライン広告システムがブラウザーやアプリにコンテンツを配信する仕組みを悪用する。
Discover-Techの広告が読み込まれると、埋め込まれたコードが同社のサーバーに接続し、広告識別子、Cookie、端末のIPアドレスなどの情報を送信する。
端末が想定された標的と一致すると、サーバーはブラウザーやアプリ内で実行され、エクスプロイトを送り込む悪意あるJavaScriptを返すことができる。大半の端末には悪意あるコードは送られないが、情報が収集される可能性は残る。
ユーザーが広告をクリックしたり、ファイルをダウンロードしたり、インストールを承認したりする必要はない。場合によっては、広告が表示されることなくバックグラウンドで描画されることもある。
これまでのゼロクリック・スパイウェア攻撃ではメッセージング・プラットフォームが悪用されてきた。これに対しAdFectionは、ウェブサイトやアプリにすでに組み込まれている広告システムを利用する。
Citizen Labは、これは標的型広告を通じたスパイウェア感染について、初の公的な技術的確認だとしている。ただし、そのような攻撃が過去に一度も起きていないことの証明ではない。
配信システムの規模は、Al Jazeeraをはるかに超えている。
研究者は、2026年3月から6月までを対象とするDiscover-Techの入札記録約40億件を分析した。記録によると、同社の広告は数十カ国の12万を超えるウェブサイトと7万のモバイルアプリに表示されていた。
広告が表示されたことだけでは、標的化やスパイウェア感染は確認できない。Citizen Labによると、こうした表示はDiscover-Techのプロファイリング・インフラにさらされたことを示すものであり、実際の悪用には追加の証拠が必要だという。
標的型広告がAl JazeeraにCandiruスパイウェアを配信した仕組み
Citizen Labは、Al Jazeeraの端末が、現在はIntegrity Labsの名称で事業を展開している商用監視ベンダーCandiruに関連するスパイウェアに感染したことを確認した。
調査にはAl Jazeeraが提供したネットワークログが用いられ、研究者は感染の一連の過程を再構成することができた。
影響を受けた端末はまず、広告が読み込まれた際にDiscover-Techのインフラへ接続した。その後、Candiruの検証サーバーに接続し、同サーバーが端末を確認してから、さらなるプロファイリングと感染を実行した。
感染に成功した端末は、その後Candiruのコマンド・アンド・コントロールサーバーと通信した。
こうした相次ぐ接続により、研究者は広告システムとスパイウェア配信の関係を特定できた。
標的化と感染を区別することは、依然として重要だ。Citizen Labは少なくとも45台の標的端末を特定したが、公開した調査結果からは、標的となった端末すべてが感染したとは確認できない。
Candiruには、政府に監視技術を提供してきた確立された実績がある。
2021年11月、米商務省はCandiruをエンティティー・リストに追加した。これは、同社のスパイウェアがジャーナリスト、公務員、活動家などの個人を標的に使われていたことを示す証拠を受けた措置だった。
Citizen Labは以前にも、市民社会組織に対するCandiruの活動を記録している。同社はその後、米国に拠点を置くIntegrity Partnersによる買収が報じられたことを受け、Integrity Labsの名称を採用した。
Al Jazeeraの事例は、この監視技術が標的に直接送られた悪意あるリンクではなく、通常の広告インフラを通じて配信されたことを示している。
Discover-TechのControliumプラットフォームの内部
Citizen LabはDiscover-Techについて、正規の広告取引所とCandiru、Bindecy、Intelosを含む商用スパイウェアベンダーをつなぐ役割を果たした広告企業だと説明している。
同社のControliumプラットフォームでは、IPアドレス、モバイル広告ID、ブラウザーCookieなどの識別子を使って標的を選択できた。
提携先はその後、選ばれた端末に表示された場合にのみ追加のコードを取得する広告を設定できた。
研究者は、Discover-TechがGoogle、Yandex、Beeswax、Vungle、Eskimiに関連する広告インフラを利用していたことを発見した。
このプラットフォームの設計は、広告を配信するサービスから悪意ある活動を隠すのに役立った。広告取引所に提出された広告に、エクスプロイトそのものが含まれているとは限らなかった。代わりに、悪意あるコードは後からDiscover-Techのサーバーによって供給される可能性があった。
これとは別に、Citizen Labの報告書と同時に公開された技術調査で、広告セキュリティ企業Confiantは、高度なデバイスフィンガープリンティング、暗号化されたコマンドチャネル、選ばれたユーザーにコードを配信する仕組みを特定した。
Confiantはまた、一部の広告が、ブラウザーのセキュリティ制限によってアクセスが許可される条件下で、セッション識別子を含むファーストパーティーのウェブサイトCookieを収集していたことも発見した。
この活動は機密性の高いネットワークにも及んだ。
Citizen Labは、NATOや国連のネットワーク、欧州連合の機関、デンマーク、ノルウェー、スウェーデンの政府機関、防衛および核研究に関わる組織に関連するDiscover-Techの広告表示を特定した。
研究者は、大手テクノロジー企業に関連するネットワークでも広告表示を確認した。
これらの調査結果から、そうした組織のいずれかが侵害されたとは確認できない。ネットワークレベルの広告記録では、広告を受け取った個人を一人ひとり特定することも、スパイウェアがインストールされたことを証明することもできない。
Citizen Labによると、DARK CARTOGRAPHERと名付けられた別の攻撃者が、モバイルネットワークの脆弱性を悪用し、広告識別子と電話番号を結び付けるためにDiscover-Techのインフラを利用していた。追加の調査結果は後日、別の報告書で公表される予定だ。
広告業界の対応
Citizen Labは、Discover-TechがGoogleと広告業界団体IAB Europeが管理する承認済みまたは認証済みベンダーのリストに掲載されていたことを発見した。
こうした登録により、研究者が公開情報から確認できるとしている監視業界関係者との企業上のつながりがあったにもかかわらず、同社は大規模な広告システムに参加できていた。
調査を受け、GoogleはDiscover-Techの広告取引所へのアクセスを停止し、同社をベンダー登録簿から削除した。
Googleはまた、今回の活動に関連する既知のドメインに対してSafe Browsingの保護機能を導入したとCitizen Labに伝えた。
IAB Europeは10月8日、Discover-TechをGlobal Vendor Listから削除した。
Beeswaxは、独立したセキュリティ検証を受けて同社を広告プラットフォームから削除した。Liftoff傘下のVungleは、調査結果を確認する間、同社のアクセスを一時停止した。
EskimiはDiscover-Techのアカウントと関連ドメインをブロックした。EskimiはCitizen Labへの回答で、同社の広告タグが端末、IPアドレス、所在地に応じて異なるコードを配信しており、一部のキャンペーンが自動スキャンを回避できる状態だったと説明した。
今回の調査は、広告企業が利用する審査システムの弱点を明らかにした。既存のマルバタイジングの脅威は、広告ネットワークが悪意あるコンテンツを配信できることを示してきたが、AdFectionはそこに監視を目的とした標的化とゼロクリック攻撃を加えた。
確認されたこと、確認されていないこと
Citizen Labは、Discover-Techの広告を通じてCandiruのスパイウェアがAl Jazeeraの端末に感染したことについて、高い確信を示している。
一方、研究者が確認できていないのは、どの政府がこれらの攻撃を依頼したのか、またプロファイリングされた数百万人の端末のうち、何台が実際に侵害されたのかという点だ。
機密性の高いネットワークで確認された広告表示は、スパイウェア感染の確認ではなく、露出とプロファイリングの可能性を示す証拠である。
Citizen Labは規制当局に対し、Discover-TechとCandiruが適用法に違反したかどうかを調査し、広告業界への監督を強化するよう求めている。
研究者は組織に対し、可能な場合はネットワークゲートウェイと管理対象端末で広告およびトラッキングをブロックするよう推奨している。また、モバイルデバイス管理ポリシーによって広告識別子を制限することも助言している。
リスクが高い人は、信頼できる広告ブロッカーの利用、可能な場合のパーソナライズド広告トラッキングの無効化、端末の最新状態の維持を検討すべきだ。これらの対策で露出を減らすことはできるが、あらゆるゼロクリック攻撃からの保護を保証するものではない。
セキュリティチームは、感染が疑われる場合の調査に備え、関連するネットワークおよびエンドポイントの証拠も保存すべきだ。Androidのスパイウェア侵入ログなどの新しい機能は調査に役立つ可能性があるが、AdFection型の配信を直接防ぐものではない。
Al Jazeeraに関する調査結果は、ユーザーが一度も操作していない広告を通じて端末が侵害され得ることを示している。同様の攻撃を防ぐには、ブラウザーやアプリにコードを配信する広告インフラをより厳しく精査する必要がある。
関連記事：最近のDarkSword iPhoneスパイウェア調査では、Keychainの認証情報や暗号資産ウォレットのデータなど、端末内の機密情報を狙う脅威が記録されている。