ネット広告を表示するだけでスパイウェアに感染するゼロクリック攻撃「AdFection」が確認される、イスラエルの広告企業が仕掛けていた攻撃の手口とは？

親愛なる読者の皆さまへ。ご存じの通り価格高騰などの悪影響でサーバー運営がとても苦しい状態です。回線や台数を整理し見直せる部分は全て見直しましたが、やはりまだ危険水域です。このままだと1ページを10分割ぐらいして無理矢理PVを増やさざるを得なくなってしまいます。そこで、GIGAZINEの物理的なサーバーたちを、たった1円でも良いので親愛なる読者の皆さまに支援してもらえればとっても助かります！今すぐ寄付は上のボタンから！ ・ これまでGIGAZINEを支援してくれたメンバーのリスト

オンライン広告を悪用し、ユーザーが広告をクリックしなくても端末をスパイウェアに感染させるゼロクリック攻撃「 AdFection 」の実態が明らかになりました。カナダ・トロント大学の研究機関であるCitizen Labによると、イスラエルの広告企業が提供するシステムを通じて、国際報道機関のアルジャジーラの端末がAdFectionによる攻撃を受けていたとのことです。 Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware - The Citizen Lab https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/ Governments are hacking people with 'zero-click' spyware by showing them online ads | TechCrunch https://techcrunch.com/2026/10/15/citizen-lab-says-governments-are-abusing-online-ads-to-hack-people-with-zero-click-spyware/ 一般的なオンライン広告はウェブサイトやアプリを開いたユーザーの情報を基に、広告主がリアルタイムで入札して表示内容を決める仕組みとなっています。これによって広告主はユーザーのIPアドレスや端末の識別情報などを利用して広告の配信先を絞り込むことができます。また、広告には画像や動画だけでなく、ブラウザ上で実行されるJavaScriptなどのプログラムを含めることもできます。

Citizen Labによると、イスラエルの広告企業であるDiscover-Techはこうした広告配信システムを悪用し、特定のユーザーの端末をスパイウェアに感染させる仕組みを提供していました。Citizen Labはこの攻撃手法を「AdFection」と命名しており、「オンライン広告を通じたゼロクリック型のスパイウェア感染が技術的な証拠とともに明らかになったのは初めてだ」と説明しています。 攻撃に使われていたのは、Discover-Techが提供する「Controlium」というプラットフォームです。攻撃者は端末の広告識別子やIPアドレスなどを指定して標的を選び、その端末に広告を配信できます。標的の端末で広告が表示されると広告内のコードがDiscover-Techのサーバーに接続し、必要に応じて追加のプログラムを読み込むことでスパイウェアの感染につなげます。

AdFectionは、ユーザーが広告をクリックしたり不審なファイルをダウンロードしたりする必要がありません。広告がバックグラウンドで読み込まれた場合でも攻撃が成立する可能性があり、ユーザーが異変に気づくのは困難です。一方、標的に指定されていない端末には攻撃用のコードを送らないため、広告を調査するセキュリティシステムによる検出も回避しやすくなっています。 実際にアルジャジーラでは2024年から2025年にかけて少なくとも45台の端末が標的となり、一部の端末でイスラエルのスパイウェア企業・Candiru製スパイウェアへの感染が確認されました。Citizen Labが通信記録を分析したところ、感染した端末は最初にDiscover-Techのサーバーへ接続し、その後Candiruのサーバーを経由して攻撃者の指令を受け取るサーバーと通信していたことが判明しました。なお、攻撃を指示した政府や組織は特定されていません。

攻撃の規模も広範囲に及んでいます。Citizen LabがDiscover-Techの広告入札記録約40億件を分析した結果、4カ月間で同社の広告が数十カ国にまたがる約20万種類のウェブサイトやスマートフォンアプリに表示されていたことがわかりました。また、数百万台の端末が広告を通じてCandiruのサーバーに接続させられており、大規模な追跡や攻撃対象の調査に利用されていた可能性があります。 さらにDiscover-TechはCandiru以外の監視関連企業とも関係があったようで、別の攻撃者「DARK CARTOGRAPHER」が携帯電話事業者のシステムの脆弱(ぜいじゃく)性を悪用した上で、携帯電話の広告識別子と電話番号を結びつけて大規模な個人の特定を行っていたことも明らかになっています。

Discover-TechはGoogleやYandexなどの大手広告配信サービスを利用しており、Googleや業界団体 IAB Europe の認定・承認済み広告事業者のリストにも掲載されていました。Citizen Labから調査結果の報告を受けたGoogleは2026年10月初旬にDiscover-Techを広告事業者のリストから削除し、広告取引システムへのアクセスを停止しました。また、ほかの広告配信企業もDiscover-Techのアクセスを停止したりブロックしたりといった措置を順次取っています。 Citizen Labは、今回の調査によってオンライン広告の仕組みがユーザーの追跡だけでなく、端末への直接的なサイバー攻撃にも悪用されている実態が明らかになったと指摘しています。また、広告業界による自主的な監視ではこうした攻撃を十分に防げなかったとして、広告配信事業者による安全対策の強化や規制当局による調査の必要性を訴えました。

・関連記事 MetaがロシアのYandexと同じ手口でユーザーの行動を追跡していたことが判明、何百万ものウェブサイトに「スマホのアプリと通信するコード」を埋め込んで追跡しておりブラウザの履歴を削除しても無駄 - GIGAZINE アメリカ軍がスマホやPCの広告識別子を無効化、位置情報データが監視・攻撃に利用されているとの報告を受け - GIGAZINE 1100万DLのYouTube広告ブロック拡張に「サーバー変更だけで任意JavaScript実行可能」との指摘 - GIGAZINE 敵対勢力が広告用の位置情報データを購入してアメリカ軍関係者を追跡・監視していたことが判明 - GIGAZINE SMSフィッシングの手口が年末に向けて巧妙化、ポイント獲得や税務署の通知を装ってモバイルウォレット連携を狙う - GIGAZINE 「Amazonのブラックフライデーを装った詐欺が横行している」とAmazonが警告 - GIGAZINE

You can read the machine translated English article A zero-click attack called 'AdFection,' … .