普通のネット広告が「ゼロクリック」スパイウェアの侵入経路に
· BehindLines 編集部
イスラエルの広告会社Discover-Techが、利用者が何も操作しなくても端末を感染させられるスパイウェアの仲介役になっていた疑いがある。トロント大学の研究機関シチズンラボが10月15日に公表した報告書の結論で、ガーディアンとアルジャジーラも報じた。研究者らはこの手法を「AdFection」と名付けた。
報告書によると、Discover-TechのプラットフォームControliumは、顧客がインターネット利用者の特徴を大規模に分析し、匿名の利用者を特定したうえで、一部を標的に選ぶことを可能にする。シチズンラボは、2024年と2025年にカタールの放送局アルジャジーラを狙った攻撃を、現在はIntegrity Labsと改称したCandiruのスパイウェアに、高い確信度で結び付けている。同局の端末少なくとも45台が標的となった。
広告が表示されるだけで足りる
仕組みの土台は、プログラマティック広告だ。ページが表示されるたびに、利用者のプロフィールを基に、数十社が競う極めて短い自動入札が行われる。報告書によれば、ゲームや通信事業者の一見無害な広告から、本人の識別情報やIPアドレスを収集できる。その人が標的に選ばれていれば、スパイウェアの供給業者は、その後、クリックを一度も必要とせず、数秒で悪意あるコードを送り込める。
三つの集団を区別する必要がある。研究者らは、数百万台の端末が利用者に知られず特徴を分析された可能性が高いと推定する。広告を見たからといって、感染したとは限らない。標的に選ばれた端末ははるかに少なく、報告書は実際に感染した端末の数を示していない。別の調査会社Confiantは、米国防総省などの政府機関に加え、国際原子力機関（IAEA）と国際刑事裁判所のネットワークでも、この広告の痕跡を見つけた。
何が変わるのか
通報を受け、複数の広告事業者が対応した。GoogleはDiscover-Techによる広告取引プラットフォームへのアクセスを遮断し、ほかの仲介業者も登録を削除したり、利用を停止したりした。Discover-TechとCandiruは、シチズンラボが設けた期限内に回答しなかった。実際の感染規模は、なお不明だ。
研究者らは、規制当局やサイバーセキュリティ機関に対し、規制の乏しい広告市場の仲介業者を調査するよう求めている。標的となる記者、活動家、外交官にとっては、不審なリンクに注意するだけでは足りない。自分で開くことを選んだわけでもない広告枠を通じて、脅威が入り込むからだ。