広告経由のゼロクリックスパイウェア感染が確認
原題: ‘Nightmare Scenario’: Zero-Click Spyware Is Infecting Phones via Targeted Ads
なぜ重要か
広告配信インフラがゼロクリック攻撃の媒体となる実例が初公開され、あらゆるアプリ・ウェブ利用者が潜在的な標的になりうることが示された点で、業界全体のセキュリティ設計見直しを迫る事例となる。
トロント大学 Citizen Lab の研究者が2026年10月15日、オンライン広告を介してスパイウェアが端末に侵入する「AdFection」と命名された攻撃の技術的証拠を初めて公開した。2024〜2025年にかけてアルジャジーラの記者ら45台の端末がターゲット型広告経由でゼロクリック攻撃を受けたと報告。イスラエル系広告企業 Discover-Tech と同国のスパイウェア開発企業 Candiru が関与しているとされる。
Citizen Lab の上級研究員 Bill Marczak 氏は、「AdFection は、標的がアプリを使ったりインターネットを閲覧したりする間に、特定の個人を自動的に攻撃できる」と説明した。被害者はいかなる操作も求められず、広告を目にすることさえないケースもある。
ゼロクリック攻撃はこれまでも、モバイルメッセージングアプリの脆弱性を悪用した形で確認されてきた。しかし今回の事例は、ゼロクリック攻撃と広告エコシステムを通じたマルウェア配布が「融合した」初の公開技術証拠として注目される。
調査によると、イスラエルで設立されたマーケティング企業 Discover-Tech が発行したターゲット広告が、アルジャジーラの45台の端末に配信された。端末はまず Discover-Tech に紐づくドメインと通信し、その後 Candiru 関連インフラへ接続したことが、デバイスログの分析で判明した。アルジャジーラは調査に参加し、端末ログを研究チームに提供した。
同研究所の上級研究員 Wolfie Christl 氏は「広告が表示されるサイトやアプリを使うだけでスパイウェアに感染するリスクは悪夢のシナリオだ」と述べた。防御策としては、あらゆるプラットフォームで広告を徹底的にブロックすること以外に有効な手段が少なく、NSA や CIA もこの脅威を把握しているとされる。
Marczak 氏はさらに、「特定ユーザーに個別のコンテンツを配信できる現代の広告エコシステムの仕組みは、傭兵スパイウェア産業に完全に適合している。このアーキテクチャが変わるか、広告企業が顧客審査を厳格化しない限り、こうした悪用は続く」と指摘した。
Discover-Tech と Candiru はいずれも報道機関からのコメント要求に応じていない。