Citizen Lab、広告でスパイウェアを届ける手口「AdFection」を発見

トロント大学の研究グループCitizen Labは、イスラエルの企業がターゲティングされたオンライン広告を使い、選んだ人物にクリック1つなしでスパイウェアを送り込んでいたと発表しました。2026年10月15日に公開された同グループのレポートは、この手法をAdFectionと名付けています。これは、広告経由で配信される傭兵型スパイウェアを技術的に公開実証した初の事例だと、CyberScoopは報じています。傭兵型スパイウェアとは、料金を払う顧客に販売される商用のハッキングツールのことです。この発見により、Webサイトやアプリのごく普通の広告枠が攻撃経路になります。

AdFectionの仕組み

Citizen Labのレポートによると、この企業Discover-Techは、通常の広告オークションを通じて広告枠を購入していました。その広告には小さなスクリプトが含まれ、次の4つのステップで動作しました。

1. 閲覧者を特定する。 スクリプトは、端末の広告IDとIPアドレスをDiscover-Techのサーバーに送信しました。広告IDとは、ブラウザやスマートフォンが広告会社と共有する追跡用のコードです。
2. 標的を選ぶ。 サーバーは各IDとアドレスを照合しました。リストにない人には、空の応答が返されました。
3. コードを実行する。 選ばれた標的には、自動的に実行されるJavaScriptが送られました。クリックは必要ありませんでした。
4. 引き渡す。 感染した端末はその後、Candiruにつながるサーバーに接続しました。Candiruはスパイウェアメーカーで、現在はIntegrity Labsというブランド名を使っています。

レポートによると、Discover-Techは、広告を購入した広告会社から悪意あるコードを隠していました。同社はこのサービスを、Controliumというプラットフォームを通じて販売していました。CyberScoopによると、Controliumでは、広告が表示された時点で、パートナーが「端末の匿名性を解除し、フィンガープリントを取得し、自動的に感染させる」ことができます。

標的になったのは誰か

Citizen Labは、ニュースネットワークAl Jazeeraの少なくとも45台の端末を、2024年と2025年にこの方法で配信されたCandiruのスパイウェアと結び付けています。細部については情報源によって食い違いがあります。TechCrunchは、45台のWindowsコンピューターがハッキングされたと報じています。Citizen Labは、これらの端末は標的にされたとしており、侵害された1台の端末から得たWindowsファイルを分析したと説明しています。

CyberScoopによると、Citizen Labは、誰が攻撃を命じたのかをまだ明言できないとしています。

広告セキュリティ企業のConfiantは、Citizen Labと並行して独自の調査を行いました。同社は、米国防総省、国際原子力機関、国際刑事裁判所のネットワークを含む機密性の高いネットワーク上で、Discover-Techの広告の痕跡を見つけました。広告が表示されたからといって、端末が感染したことにはならないと、Citizen Labは指摘しています。

広告はどこまで届いたか

研究者たちは、Discover-Techが利用していた広告購入プラットフォームの1つ、MyDSPから入札データを入手しました。2026年3月から6月のデータは次のとおりです。

指標	数値
広告の入札数	3,770,286,576
落札数	441,954,291（11.7%）
到達したWebサイト	120,768
到達したモバイルアプリ	75,373
アプリ内の入札の割合	76.7%
おおよその支出額	109,091ドル

レポートによると、MyDSPのトラフィックの大半は、Yandexの広告取引所（67.4%）、Google Ad Manager（24.74%）、Vungle（7.24%）から来ていました。

TechCrunchによると、Discover-Tech自身のシステムの一部が公開状態のままになっていました。研究者たちはパスワードなしでユーザーのログイン記録をダウンロードでき、その中には一部のCandiruとBindecyのスタッフの記録も含まれていました。Bindecyは、レポートがDiscover-Techと関連づけているハッキング企業です。

広告業界の対応

Citizen Labによると、レポートの公表前に複数の企業が対応しました。

• Googleは、Discover-Techによる自社の広告取引所へのアクセスを遮断し、Safe Browsingの保護機能を追加しました。
• IAB Europe（広告業界団体）は、Discover-Techをベンダーリストから削除しました。
• Vungle（Liftoff傘下）は、審査の間、Discover-Techのすべてのアクセスを停止しました。
• BeeswaxはDiscover-Techを自社プラットフォームから削除し、EskimiはDiscover-Techのアカウントを恒久的にブロックしました。

Discover-Tech、Candiru、Bindecyは、CyberScoopに回答しませんでした。

Citizen LabのシニアリサーチャーであるBill Marczak氏はTechCrunchに対し、「今、初めて、このプロセスが実際に動いていることを示す具体的な技術的証拠が得られた」と語りました。Marczak氏は、Discover-Techについて「間違いなく氷山の一角にすぎない」と述べました。

「デジタル広告は壊れている」と、Citizen LabのシニアリサーチャーであるWolfie Christl氏はCyberScoopに語りました。

開発者にとっての意味

アプリを開発するチーム、広告収入で運営するサイトを持つチーム、会社の端末を管理するチームに向けたポイントです。

• 広告スクリプトは信頼できないコードとして扱いましょう。 どの広告枠でも、購入者のJavaScriptが実行される可能性があります。広告フレームを分離し、サードパーティのスクリプトがページ上でアクセスできる範囲を制限しましょう。
• 業務用端末では広告をブロックしましょう。 Citizen Labは組織に対し、ネットワークゲートウェイと業務用端末で広告とトラッキングをブロックするよう勧めています。デバイス管理を使って、従業員のスマートフォンを広告ターゲティングの対象から外しましょう。
• 広告IDを制限しましょう。 Citizen Labはユーザーに対し、スマートフォンの広告IDを定期的にリセットし、広告トラッキングをオフにするよう呼びかけています。「端末の広告トラッキングを無効にすべき時が来た」と、Marczak氏はTechCrunchに語りました。
• 広告パートナーを精査しましょう。 Citizen Labは広告会社に対し、販売先が誰なのかを確認し、取引先を継続的に再監査するよう求めています。サイトやアプリの運営者は、広告ネットワークに対して購入者をどう審査しているのかを尋ねるべきです。
• 広告の読み込み後の通信を監視しましょう。 Citizen Labは、広告インプレッションに関連するネットワークトラフィックの監視を勧めています。広告が表示された直後に予期しない接続があれば、それは警告のサインです。