広告経由のゼロクリック攻撃で傭兵マルウェア感染
原題: Targeted ads delivered 0-click exploits to install mercenary malware
なぜ重要か
広告インフラがスパイウェア配布路として悪用される事態は、一般ユーザーを含む全端末が潜在的な攻撃対象となることを意味し、業界全体での対策強化が急務となる。
セキュリティメディアArs Technicaが報じたところによると、ターゲット型広告を悪用したゼロクリックエクスプロイトが実際に使用され、傭兵マルウェア（mercenary malware）のインストールに利用されていたことが明らかになった。ユーザーが広告をクリックしなくても端末が感染するという高度な攻撃手法で、特定の個人を狙った標的型攻撃とみられる。
Ars Technicaの報道によれば、ターゲット型広告のインフラを悪用したゼロクリックエクスプロイトが、傭兵スパイウェアの配布手段として実際に使用されていた。
ゼロクリックエクスプロイトとは、標的となるユーザーがリンクや添付ファイルを操作しなくとも、広告が表示されるだけで端末への侵入が完了する攻撃手法だ。通常のフィッシング攻撃と異なり、ユーザー側の「ミス」を必要としない点が特に危険視される。
傭兵マルウェア（mercenary malware）とは、NSO GroupのPegasusに代表されるような、政府や民間組織が金銭を支払って調達する商業スパイウェアを指す。こうしたツールは通常、ジャーナリスト・活動家・政治家など特定の人物を標的に使われる事例が多い。
今回の手口で注目されるのは、広告配信ネットワークという一般ユーザーが日常的に接触するインフラが攻撃の入り口として使われた点だ。広告は通常、デバイスの属性・位置情報・行動履歴などで精密にターゲティングできるため、特定個人への狙い撃ちが技術的に可能となる。攻撃者は広告購入または広告ネットワークへの不正な介入により、特定の端末にのみ悪意あるペイロードを届けたとみられる。
この種の攻撃が成立する背景には、モバイルOSやブラウザに潜む未修正の脆弱性（ゼロデイ）の存在がある。傭兵マルウェア業者はこれらの脆弱性を高額で買い取り、製品に組み込んで顧客に提供するビジネスモデルをとっている。