政府系スパイウェアが広告経由で端末に侵入
原題: Citizen Lab says governments are abusing online ads to hack people with ‘zero-click’ spyware
なぜ重要か
広告インフラが政府系スパイウェアの配送経路となった事実は、世界規模で一般ユーザーが標的になりうることを意味し、監視技術規制の議論を加速させる。
カナダ・トロント大学のデジタル権利研究機関Citizen Labは2026年10月15日、イスラエル企業Discover-Techが政府系スパイウェアメーカーに広告プラットフォームを提供し、「ゼロクリック」スパイウェアを標的端末に送り込む仕組みを確認したと報告した。CandituおよびBindeckyが同プラットフォームを利用し、報道機関Al Jazeeraの少なくともWindows端末45台が2024〜2025年にかけて侵害されたことが判明した。
Citizen Labが発表した新報告書によると、Discover-Techは表向きは正規の広告会社を装いながら、実際には「広告ベンダーと民間スパイウェア事業者をつなぐ仲介役」として機能していた。同社のプラットフォームを通じて、CandituとBindeckyという2社のゼロクリックスパイウェアメーカーが特定の人物・端末を狙った攻撃を展開していたことが確認された。
ゼロクリックスパイウェアとは、被害者がリンクを開いたりメッセージをタップしたりする操作なしに端末へ感染できる高度な監視ツールだ。今回の手口では、悪意あるコードを埋め込んだオンライン広告を標的端末に配信することで、不可視の形でデータを窃取する。
Al Jazeeraに対する攻撃では、少なくとも45台のWindowsコンピューターが2024年から2025年にかけてCandituのスパイウェアに感染した。Citizen Labは攻撃の背後にいる政府を特定できていないとしつつも、「オンライン広告を介した政府系ゼロクリックスパイウェア攻撃が技術的に確認された初のケース」と位置付けている。
Citizen Labのシニア研究員Bill Marczakは報告書公開前に「広告を使って標的を精密に自動ハッキングできるという話は以前からあったが、今回初めてその実態を示す具体的な技術的証拠を得た」と述べた。
広告ネットワークはもともと特定の属性・端末・組織へ広告を届ける仕組みを持つため、悪用されれば世界中のほぼあらゆるインターネット接続端末を標的にできる。いわゆる「マルバタイジング」攻撃自体は新しくないが、政府が調達した強力なスパイウェアを広告経由でサイレントに展開するのは明らかな脅威の拡大だ。セキュリティ専門家は長年にわたり広告ブロッカーの導入を推奨してきたが、オンライン広告の遍在性ゆえに完全な回避は難しい状況が続く。