Hot Tracking 022｜広告が初めてスパイウェアパイプラインとして実証された：認証リストに6年間掲載されていた

まず、日付を固定します。10月15日、トロント大学のCitizen Labが第195号報告書「Exposing AdFection」を発表しました。著者にはBill Marczak、John Scott-Railton、Ron Deibertなどがいます。報告書によると、これは公開された技術的証拠により確認された、ターゲットを絞ったオンライン広告を通じて配信されるクリックなしのビジネススパイソフトウェア攻撃であり、Citizen Labはこの技術をAdFectionと名付けました。同日、広告セキュリティ会社のConfiantが調査結果を公開しました。拡散経路として、関連する投稿はその夜Hacker Newsのトップニュースになり、10月16日の午前中までに340以上の支持票と500件以上のコメントがあり、まだ増加しています。48時間の期間は10月15日から10月17日で、本稿はこの期間内に作成されています。声明は最初から固定します。「初めて確認された」というのはCitizen Lab自身の主張であり、本稿ではそのまま記載します。以下の事実はすべて出典を明記し、コメント欄の意見は個々に帰属します。

何が起こったか

核心事実1：ニュース機関の設備が広告によって感染した。報告書によると、アルジャザイラ国際ニュースネットワークの設備がイスラエルの企業Candiruのビジネススパイソフトウェアによって感染し、配信手段はターゲットを絞ったオンライン広告でした。Candiruは現在「Integrity Labs」と改名しています。感染が何台の設備に及び、いつ起こったかについては報告書の公開部分では詳細が示されておらず、本稿では補足しません。

核心事実2：広告の購入者はスパイソフトウェアの協力者である。悪意のある広告はイスラエルの企業Discover-Techによって購入されました。この会社は正式な広告会社と自称していますが、実際にはCitizen Labによって複数のビジネススパイソフトウェアメーカーの協力者として発見されました。協力者にはCandiruだけでなく、IntelosやBindecyも含まれます。同社はControliumというプラットフォームを運営しており、協力者が広告が表示される瞬間に匿名化、指紋認識、自動的に設備に感染させることを可能にしています。つまり、クリックなしの攻撃です：ユーザーは何もクリックする必要がありません。広告が表示されると、攻撃はすでに行われています。

核心事実3：規模はエコシステムレベルです。Citizen LabはDiscover-Techの40億件の競争記録を分析し、4ヶ月間にその広告が約20万の独立したウェブサイトやAndroid、iOSアプリに表示され、数十カ国に及んでいたことを発見しました。報告書はまた、Discover-Techの広告が数百万台の設備をCandiruのサーバーに接続させる秘密の方法を発見し、これが大規模な追跡と偵察に使用されている可能性があると判断しました。さらに、DARK CARTOGRAPHERという名前の脅威がDiscover-Techのインフラを利用して、複数のモバイルキャリアの脆弱性を攻撃し、設備の広告IDと携帯電話番号を関連付けていることがわかりました。詳細は後の報告書に譲ります。

そのメカニズムは詳しく説明する価値があります。なぜなら、これがこの報告書で最も重要な部分だからです。普段見る広告のほとんどは、リアルタイム入札（RTB）によって生成されます。広告主は「この特定のユーザーにこの広告を表示する」権利を入札し、その入札はGoogleなどの広告取引所が管理しており、毎日数千億回行われています。広告は画像や動画だけでなく、HTMLやJavaScriptコードも含み、1つまたは複数のドメインを接続して、露出とクリックを追跡します。広告主間ではID同期も行われ、ユーザー識別子を交換し、ウェブサイト間や広告主間でユーザーを識別し、プロファイルを作成してターゲティングを行います。Discover-Techは、この基盤設備の合法的な入口に立って活動しており、独自の広告購入プラットフォームMyDSPを持ち、他の正規の購入者と同様に入札に参加します。広告自体は無害に見えますが、コメント欄ではゲームバナー、eコマースプロモーション、IP検索サイトなどと結論づけられています。しかし、各広告には小さなスクリプトが隠されており、レンダリング時に静かに再接続されます。ターゲティング能力もすでに利用可能であり、報告書によると、性別、年齢、地域などの条件を加えることで、広告ネットワークはほぼ個人を一意に識別できます。詳しく言えば、攻撃者はどのウェブサイトにも不正アクセスする必要はなく、単に価格を提示するだけで、残りの作業は広告エコシステムが自動的に行います。この基盤設備は、「最も購入する可能性のある人に広告を届ける」ために設計されていました。ターゲティングが正確であればあるほど、商業的価値も高くなります。しかし今では、同じ精度を持つものが、監視されるべき人に脆弱性を届けるために使われています。対象者にとって、選ばれるのは何かをクリックしたからではなく、彼のプロファイルが購入者の価格条件に合致したからです。

認証リストが6年間掲載されていた：批判の核心

最初の皮肉は認証に関してです。報告によると、Discover-Techは2020年から2026年まで、Googleや業界団体IAB Europeが維持する「認証」「承認」されたサプライヤーリストに常に掲載されており、Google、Yandex、Beeswaxなどの大規模なネットワークで広告を配信していました。6年間、業界のセキュリティ監査メカニズムは1社のスパイソフトウェア協力者も防ぎませんでしたが、独立した研究者がリストを10月初旬に更新したことを明らかにするまでです。ここで問われるのは「なぜ悪人がいるのか」ではなく、「認証審査は何を審査しているのか」です。

2番目の皮肉はコンプライアンスの外観に関してです。報告書は、Discover-TechがEU GDPRの同意フレームワーク、つまりIABのTCFを利用して、EU内でターゲットユーザーを選択し、自己をコンプライアントに見せていることを発見しました。プライバシー保護のために設計された同意ポップアップやCookieバナーは、逆にターゲティング広告の隠れ蓑として使われています。コンプライアンスがセキュリティを意味するわけではありません。これは現在最も鋭い証拠です。

3番目は改名に関してです。Candiruが指名された後、Integrity Labsに改名されました。報告書では特に括弧で注記しています。複数の国の研究機関やメディアによってスパイソフトウェアメーカーとして暴露された企業が、名前を変えて営業を続けているのです。しかも今回の名前には「誠実」という言葉が含まれています。

報告書の構造的な結論は小節のタイトルに記載されています：AdFectionは、オンライン広告がネットワークセキュリティとプライバシー危機であることを示しています。広告システムは、報告書に記録された悪用を検出したり阻止したりすることができませんでした。報告書はまた、国家行為体の背景の下で、悪意のある広告が国防関係者、政治指導者、重要インフラのメンテナーが使用するアプリやウェブサイトを通じて配信され、国家自体に国家安全リスクをもたらす可能性があることを警告しています。報告書は、監督機関に対し、Discover-TechとCandiruが違法かどうかを調査するよう呼びかけています。

公式の声明が一致しない：誰が装っているのか

Citizen Labは13社にコメントを求めたが、その全文は報告書の「Correspondence」セクションに記載されている。報告によると、実際に行動したのは5社のみである。Googleは調査に参加し、その後IAB Europeと共にDiscover-Techをサプライヤーリストから削除し、広告取引プラットフォームへのアクセスを停止した。Beeswaxは同社を広告購入プラットフォームから除外した。Vungle（Liftoff）はアクセスを一時停止し、監視を開始した。Eskimiはそのアカウントとドメイン名を禁止した。他の関与した広告サプライヤーについては、報告書では期限内にコメントを求めなかったとされている。注意すべき点は、「応答しなかった」という表現であり、「拒否した」とは意味が違う。本稿では特定の企業を指すことはせず、読者自身が数えてみれば明らかになるだろう：13社に質問があった中で、5社のみが行動した。

また、時間軸についても注目すべき点がある。GoogleとIAB Europeによる削除措置は10月初旬に行われたが、Googleは「調査に参加した」後に行動した。つまり、認証リストの更新は業界内部の自己検査の結果ではなく、研究チームが証拠を手に入れた後に行われたものである。

コメント欄の意見はどうか

HNの500以上のコメントは大まかにいくつかのグループに分かれている。以下はその要約であり、本稿の立場を代表するものではない。

メカニズム派は攻撃経路を分析している。ユーザーchunkyslinkの要約は高評価を得ている：それは正門から入り、GoogleとIAB Europeによって6年間認証サプライヤーとしてリストに載せられていた。広告は無害に見えるが、各広告には小さなスクリプトが隠されており、レンダリング時に静かに再接続される。ユーザーreactordevは、悪意のあるコードを画像の中に隠し、その広告ネットワークにアクセスするサイトを訪れるだけで十分だと推測している。ユーザーoulipoは位置特定のロジックを補足している：広告ネットワークを使って個人を特定し、その後、脆弱性を利用した広告を配信する。例えば、壊れたJPEGデコーダを使ってデバイスの実行権を得る。ユーザypegalicAustralは、「ファイル形式が情報機関と関係がある」という説明は奇妙に聞こえるが、他のゼロクリック攻撃は実際にはファイル解析を破壊することで実現されており、メッセージを送っても開かなくても悪影響を受ける可能性があると述べている。

業界批判派の声も大きい。ユーザLioはルートニュースの報道を引用し、Metaの数十億ドルの広告収入が詐欺や違法なギャンブルなどの禁止内容から得られていると述べている。また、アメリカのICEなどの政府機関も、広告技術を利用して人々の行動を追跡するソフトウェアを購入している。彼の結論は、広告ブロッカーがControliumを防げるかどうかはわからないが、今日でもブラウザに広告があることを許しているのは愚かなことであり、広告業界全体がかなり悪質だということである。注意すべき点は、これはコメント欄からの引用と個人的判断であり、本稿では単に記録として残すだけである。

防御効果については、最も議論が激しい分野です。ユーザーのandunieは、状況が想像よりも悪いと考えています。相手は脆弱性を利用して機械を完全に制御しているため、Signalのようなプライバシーメッセージングツールでは何の役にも立ちません。また、GoogleがAndroidのサードパーティーへのアップロードを厳格化しても、この種の攻撃を防ぐことはできず、むしろプラットフォームをさらに閉鎖的にするための手段として利用される可能性があると懸念しています。ユーザーのgruezは、サードパーティーへのアップロード制限は社会工学や詐欺を防ぐためであり、ゼロデイ脆弱性を防ぐためではないと反論しています。ユーザーのCider9986は、「全く役に立たない」というのは間違っていると述べています。スパイソフトウェア会社を雇う方が、内部者を買収したり、裁判所から命令を出させたりするよりもはるかに高価です。彼はGrapheneOSデバイスのメッセージプライバシーに自信を持っており、重要なのは脅威モデルです。ユーザーのhotelsacherは冷ややかに付け加えています：Googleは自分の財産を守りたいだけであり、つまりユーザーの行動を監視する能力を保ちたいのです。彼らはユーザーを悪意で利用したくないのです。彼らにはすでにすべてのデータがあります。他のユーザーroom606とbeelは、Citizen LabとConfiantの原著報告のリンクを直接掲載しています。コミュニティの共通認識は明確です：このような規模の事件では、原文を読む方が要約を読むよりも価値があります。コメント欄では、Pegasusの過去の事例を思い起こす人もいますが、本記事では赤線に沿ってその一節のみを引用し、平行な議論は行いません。

一般ユーザーができる3つのこと

第一に、広告をブロックする。報告書によると、脅威が実際に存在し、大規模なターゲティングの証拠があることを考えると、現在最も実行可能な防御策は、防御側がゲートウェイ層でターゲットを絞った広告をブロックすることです。この提案は、業界ですべてのAdFection型のメディアを信頼性高くブロックできるまで有効です。個人としては、ブラウザにuBlock Originのようなブロッカーをインストールし、ルーターレベルではPi-holeのようなソリューションを使用することができます。コメント欄のLioも同じ意見です。

第二に、高リスク群はデバイスを隔離する。報告書ではニュース機関が特定されており、国防関係者、政治指導者、重要なインフラの管理者も潜在的な標的であると述べられています。もしあなたが記者、権利活動家、または機密情報を扱う職業に従事している場合、「ウェブページを閲覧するデバイス」と「機密データを保存するデバイス」を物理的に分離することが、報告書の脅威モデルに基づく最もシンプルで効果的な対応です。

第三に、識別子を少なくし、同意を少なくする。iOSでは「Appがトラッキングを要求することを許可する」機能をオフにし、Androidでは広告IDを定期的にリセットする。Cookieや同意のポップアップには最も厳しい設定を選択する。注意：報告書によると、ID同期とTCF同意フレームワークがクロスサイトトラッキングに使用されていることが確認されていますが、これらの措置はあなたのプロファイルの精度を高めるだけであり、ターゲットを絞った攻撃自体を防ぐことはできません。本記事ではその効果を誇張しません。

結論

適度な声明：本稿ではどちら側も非難していない。「最初の公開確認」はCitizen Labの自己宣言である。Discover-Techはイスラエル企業、アルジャジーラはカタールのメディア、Candiruはイスラエルとの関連がある。すべて報告書の原文に基づいて記述しており、本稿では地政学的な解釈を行っていない。「大規模な追跡と偵察に使用される可能性がある」という表現は、報告書の「likely」という限定を保持している。アルジャジーラの設備が感染した具体的な詳細は公開されておらず、本稿ではそれを作成していない。コメント欄の意見はすべてコメント者に帰属する。確認された事実は以下の通り：Citizen Labの報告書195は10月15日に発表され、40億件の競売記録、約20万のサイトとアプリケーション、4つのスパイソフトウェア関連の脅威企業名、2020年から2026年までの認証リスト、5社の処分措置はすべて報告書の原文に基づいている。注目すべき2つのポイント：1つ目は、Discover-TechまたはCandiru（Integrity Labs）が正式な回答を出したかどうかで、現在の報告では期限内に回答していないとされている。2つ目は、監督機関がこの件について調査を開始しているかどうかで、報告書では監督機関の介入を呼びかけている。いずれかが発生した場合、v2を発表する。

参照情報

• Citizen Lab Report 195「Exposing AdFection」：2026年10月15日にcitizenlab.caに発表され、全文が直接引用されている。本稿のすべての確実な事実の第一手の情報源である。
• HN story 50101813：Algoliaのデータ、10-15T18:43に提出され、10-16日の午前中のスナップショットは349▲/506💬で、本文は「340▲以上、500件以上のコメント」という表現を使用している。
• Confiantの調査協力（blog.confiant.com）：報告と同日に発表され、HNのコメントを引用しているが、全文は直接取得しておらず、本文は「同日に発表された」のみを記載している。
• ReutersのMetaの広告収入に関する報道：コメント欄のユーザーLioが引用しており、二次的な情報源である。本文には「コメント欄からの引用」と明記されている。
• HNのコメントプール：chunkyslink/reactordev/oulipo/pelagicAustral/Lio/andonie/gruez/Cider9986/hotelsacher/room606/beelはすべてコメント者自身が述べたもので、本文はそれぞれのコメント者に帰属している。