広告枠ひとつが感染経路になるとき — AdFectionとアドテックのセキュリティ負債

広告エコシステムは悪用されたのか、それとも設計どおりに動いただけなのか？

導入

2026年10月15日、トロント大学のデジタル調査研究所Citizen Labが一本の報告書を公開した。タイトルは「Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware」、著者はBill Marczak、Wolfie Christl、John Scott-Railton、Astrid Perry、Siena Anstis、Ron Deibertである。同じ日のHacker Newsでは、この報告書が521ポイント、それを報じたGuardianの記事が515ポイントを集め、ほぼ並んでトップページに載った。

報告書の主張は一文に集約される。ターゲティング広告を通じてゼロクリックの傭兵型スパイウェアが配布された事例を、公開の場で技術的に確認したのはこれが初めてだ、というものである。Citizen Labはこの手法をAdFectionと名付けた。被害例として挙げられたのはカタールの国際放送局Al Jazeeraだ。2024年から2025年にかけてAl Jazeera内部の少なくとも45台の端末が標的となり、報告書はこれをCandiru（現在はIntegrity Labsに改称したイスラエルのスパイウェア企業）のスパイウェアと高い確度で結びつけている。

広告業界は昔からマルバタイジング、つまり悪性広告と戦ってきた。しかしこれまでのマルバタイジングは、おおむね金銭目的の犯罪だった。詐欺ページ、強制リダイレクト、フィッシングが主流である。今回が異質なのは、広告システムのもっとも洗練された機能、すなわち特定の個人を選んで広告を見せる能力が、そのまま国家レベルの監視の照準器として使われた点にある。本稿では報告書が公開した範囲で構造を整理し、広告ブロックと広告取引所の責任という二つの問いを追う。

一回の入札、一回の判定 — 報告書が示した構造

まず舞台となるリアルタイム入札（RTB）を確認しておく。報告書の説明によれば、ユーザーがアプリやWebサイトで広告を目にするとき、その広告はたいてい1秒にも満たないオークションの結果である。ユーザーの端末が入札リクエストを送り出し、広告主側はDSP（デマンドサイドプラットフォーム）を通じて入札し、媒体側はSSP（サプライサイドプラットフォーム）を通じて広告枠を売る。こうしたオークションはGoogleなどが運営する広告取引所で1日に数千億回行われている。そして入札リクエストには、端末識別子、精密な位置情報、IPアドレス、アプリやサイトの情報といった細かなデータが含まれる。報告書は、オークションの仕組みそのものがモバイル広告ID、Cookie ID、IPアドレスなどによってたった一人を狙えるよう設計されていると書く。

二つ目の前提は、広告は画像ではなくコードだという事実である。広告には広告主やDSP、その他の第三者が埋め込んだHTMLやJavaScriptが含まれうるし、そのコードは広告を表示するアプリやブラウザの中で実行される。インプレッション計測、クリック追跡、ボット判定といった理由で、業界はこれを日常的に許してきた。

この二つを組み合わせるとAdFectionの骨格が見えてくる。報告書によれば、Discover-Techというイスラエル企業が広告オークションで落札し、広告を配信する。広告にはDiscover-Techが「NOASサーバー」と呼ぶ自社サーバーを指すscriptタグが入っている。広告がレンダリングされると、このタグがユーザーの広告識別子をサーバーへ送り、サーバーはIPアドレスと識別子の組み合わせから、その人物が標的かどうかを判定する。標的でなければ0バイト、つまり空のレスポンスが返る。標的であればコードが返る。報告書によれば、大半のユーザーは標的に選ばれずコードを受け取らないが、それでも広告はブラウザからデータを収集してDiscover-Techに送り返している。

この設計の巧妙さは、広告を運ぶ側の企業からは悪性コードはもちろん、悪性コードへのポインタさえ見えないことにある。取引所が審査する広告クリエイティブは、ゲームや通信サービス、AliExpressのセールといったありふれたバナーだ。判定は、広告がすでにユーザーの画面に届いたあと、Discover-Techのサーバー上で行われる。

Al Jazeeraの事例で報告書が示す根拠は時系列である。Al Jazeeraが提供したネットワークログでは、感染端末はまずDiscover-Techのインフラのドメインと通信し（広告の表示）、次にCandiruのバリデータサーバーと通信し、最後にCandiruのC&Cサーバーと通信している。Al Jazeeraは感染端末の一台からWindowsのDLLファイルを取り出し、Citizen Labはその挙動から、2021年に自分たちが捕捉したCandiruの攻撃チェーンの新バージョンであると高い確度で結論づけた。

ここで押さえておくべき点がある。報告書は、広告の表示からスパイウェアのインストールに至るまでの間に、ブラウザやOSのどの脆弱性が使われたのかを公開していない。Hacker Newsでもこのギャップが指摘された。あるユーザーは、広告ネットワークがJavaScriptを配信できることとゼロクリックのブラウザエクスプロイトとの間には大きな距離があり、報告書は前者については見事なOSINTを示しているが、DLLが被害者の端末に届くまでのつながりは目立って空白だと評した（直接の引用ではなく、コメントの要旨の要約）（@woodruffw）。公平に言えば、この空白は報告書の欠陥というより公開範囲の選択である可能性が高い。ただ読者としては、「広告を見ただけで感染する」という要約が、実際には「広告が配送経路となり、その後ろに別のエクスプロイトチェーンがある」という意味だと区別しておく必要がある。

認定ベンダーという偽装 — なぜ誰も止められなかったのか

この件でもっとも居心地が悪いのは、技術ではなく資格の問題である。報告書によれば、Discover-Techは2020年からGoogleの認定外部ベンダー（Certified External Vendors、約2,400社）、広告技術プロバイダのリスト（約1,000社）、広告パーソナライズプロバイダのリスト（約1,700社）に掲載されていた。欧州の広告業界団体IAB EuropeのGlobal Vendor List（GVL）には2020年7月2日に登録されている。GVLは、欧州でGDPRの同意シグナルをやり取りするTransparency & Consent Framework（TCF）に参加するための事実上の必須条件だ。報告書は、こうした掲載がDiscover-Techを正規の広告会社に見せかけ、エコシステムへの大規模な参加を助けたと評価する。Hacker Newsのある要約コメントはこれを「正面玄関から入ってきた」と表現した。何もハッキングしておらず、ほかの買い手と同じようにオークションに入札しただけだ、というわけである（直接の引用ではなく、コメントの要旨の要約）（@chunkyslink）。

規模も、報告書が公開したデータから見積もることができる。Citizen Labは、Discover-TechのWebサイト上で誰でも読める状態になっていたApache Druidのインスタンス二つから、約40億件の入札記録を入手した。2026年3月から6月までの4か月間に、Discover-TechのMyDSPは37億7,028万6,576件のインプレッションに入札し、4億4,195万4,291件（11.7%）を落札したとみられる。入札の76.7%はモバイルアプリ、23.3%はWebブラウザだった。広告が表示された先は7万を超えるモバイルアプリと12万を超えるWebサイト、合わせて約20万か所にのぼる。

だが、これらの数字の隣に置かれた別の数字のほうが多くを語る。データベースに記録された広告主はわずか3社で、その大半はDiscover-Tech自身か関連法人とみられた。4か月間の支出は、コストがUSDのマイクロ単位で記録されていると仮定すれば約10万9,091ドルだった。コンバージョン（購入やインストールなど）のフィールドは常に0だった。報告書は、広告会社の広告がひとつの行動も生まないのは極めて異例だと書く。つまり、広告ビジネスとしてはほとんど何もしていない会社が、数億件のインプレッションを買い続けていたのである。広告取引所から見れば、この会社は金を払って枠を買う普通の顧客にすぎなかった。

報告書は、このデータで何ができたのかも示している。Discover-TechのプラットフォームControliumには、特定の識別子やIPアドレスについて直近30分の広告表示や、直近の入札リクエスト（閲覧中のWebサイトや利用中のアプリ、IPアドレスを含む）を参照するモジュールがあった。顧客は標的の識別子リストをアップロードして「セグメント」にまとめることができ、利用範囲は国ごとの許可リスト・拒否リストで制限されていた。報告書はこれを攻撃プラットフォームのライセンス慣行と描写している。これがADINT（広告インテリジェンス）である。オークションを流れるデータだけで、ある人物がセルラー、Wi-Fi、VPNを行き来しながらどこへ移動しているかを追跡できる。Citizen Labは、Discover-Techの広告が数百万台の端末をCandiruのサーバーに接続させており、大規模な追跡と偵察が目的だった可能性が高いとみる。報告書はさらに、DARK CARTOGRAPHERと名付けた別の行為者がDiscover-Techのインフラを使い、複数の携帯キャリアの脆弱性を悪用して広告IDと電話番号を結びつけていると明かし、詳細は続報に回している。

皮肉な点もある。これほど秘匿性の高い配送の仕組みを作った会社が、自社運用のセキュリティは杜撰だった。報告書によれば、Controliumのフロントエンドのソースコード一式がログインページに含まれており、認証なしで呼べるエンドポイントからは128日分のログイン記録と120のユーザー名が得られた。40億件の入札記録も誰でも読めるデータベースにあった。結局この件の多くは攻撃者側のミスのおかげで明るみに出たのである。それは同時に、ミスをしない次のDiscover-Techが現れたとき、我々がそれを知る手段はほとんどないということでもある。

広告セキュリティ企業Confiantが同時に公開した報告は、この点を別の角度から示している。Confiantは、2026年4月12日に自社スキャナーに引っかかった広告クリエイティブから調査を始めたという。Confiantが普段扱う攻撃者はみな金銭目的の犯罪者だが、Discover-Techはその枠から外れた例外（outlier）だった、というのが彼らの記述だ。クローキングの手口は詐欺広告業者に似ていたが、洗練度ははるかに高かった。業界の検知の仕組みは「金を狙う悪性広告」を前提に作られており、一人だけを狙い、それ以外には空のレスポンスを返す攻撃はその前提の外側にあった。

広告ブロックはセキュリティ統制である — では責任はどこへ向かうのか

Citizen Labの提言の章には目を引く小見出しがある。「防御側へ：広告ブロックはサイバーセキュリティのベストプラクティスである」。報告書は、現時点ではユーザーやネットワークをターゲティング広告にさらす一貫して安全な方法は存在しないと述べる。組織に対しては、ゲートウェイや業務用端末で広告とトラッキングをブロックすること、MDMで会社支給端末の広告ターゲティングを無効にすること、トラッキング防止機能とGlobal Privacy Control（GPC）をサポートするブラウザへ移行することを勧める。個人に対しては、信頼できる広告ブロック拡張、プライバシー重視のブラウザ、モバイル広告IDの定期的なリセット、ルーターやVPNのレベルでの広告ブロックを勧めている。報告書は、広告識別子をブロックすればDiscover-Techの現在の手口は直接防げるが、AdFectionの攻撃対象領域はもっと広い可能性があると付け加える。

これはかなり大きな転換である。これまで広告ブロックは好みやプライバシーの問題として、ときには媒体の収益を奪うただ乗りとして扱われてきた。セキュリティ研究機関がこれを組織防御の基本統制として推奨するということは、広告枠を社内ネットワークに入り込む信頼できないコードの通り道として見よ、という意味だ。Hacker Newsでもこの結びつきはすぐに語られた。広告ブロッカーをブロックするサイトは、読者に強制的に実行させる広告ソフトウェアについて責任を負うべきだという意見があり（直接の引用ではなく、コメントの要旨の要約）（@NelsonMinar）、このテーマを扱った記事のサイトが広告ブロッカーを無効にせよという画面を出してくるのは皮肉だという指摘もあった（直接の引用ではなく、コメントの要旨の要約）（@ediamondscience）。

ただし広告ブロックの限界もはっきりしている。Discover-Techの入札の76.7%はモバイルアプリだった。ブラウザ拡張はアプリ内の広告SDKには届かない。Hacker Newsでも、Webでは効くだろうがモバイルアプリ内なら効かず、DNSレベルのブロックが必要だという意見が出ていた（直接の引用ではなく、コメントの要旨の要約）（@c16）。報告書の個人向け提言がルーターやVPNでのブロックと広告IDのリセットをまとめて挙げているのも、同じ理由と読める。広告ブロックがセキュリティ統制になるのなら、それはブラウザ一か所ではなく、ネットワーク境界と端末設定の全体にかかる統制でなければならない。

では責任はどこにあるのか。報告書は広告業界に向けて「本気になるべき時だ」と書く。業界は「認定」「承認」という言葉で自主規制の体裁を整えているが、実際には意味のあるデューデリジェンスを行わず、オンラインフォームのチェックボックスのような自己申告に頼っている、というのである。提言は具体的だ。リアルタイムの悪性広告検知能力の大幅な強化、脅威情報の共有、すべての取引相手に対する義務的なKYCと定期的な再審査、認定ベンダーレジストリへの義務的な第三者監査、悪用に寛容な法域のベンダーに対するデフォルト拒否、サプライチェーン全体の透明性。規制当局に対しては、Discover-TechとCandiruの即時調査、既存法の執行、そしてRTBオークションから個人データを取り除く立法の検討を求めている。

ここで考えるべきはコストの非対称性である。取引所にとってDiscover-Techは手数料を払う顧客だった。その顧客が何をしているかを突き止めるコストは取引所が負い、突き止められなかったときのコストはAl Jazeeraの記者とその情報源が負う。この構造では、デューデリジェンスを強化する経済的インセンティブは弱い。報告書が自主規制ではなく義務的な監督を求める理由はここにある。Guardianの記事でWolfie Christlは、大手広告企業や業界団体が何年にもわたってこの会社の悪性広告運用を検知も阻止もできなかったのは壊滅的であり、今日のオンライン広告エコシステムの動き方そのものが国家、民間、市民社会のすべてにとってセキュリティ上の脅威だと述べている。

対応がまったくなかったわけではない。報告書によれば、調査に協力したGoogleは2026年10月第1週にDiscover-Techをベンダーレジストリから外し、広告取引所へのアクセスを遮断した。IAB Europeは10月8日にGVLから削除した。Beeswaxは購入プラットフォームから除外し、Vungle（Liftoff）は審査期間中アクセスを停止し、Eskimiはアカウントとドメインをブロックした。一方で、報告書に登場した他の一部の広告企業は期限内に回答しなかった。事後の遮断はこの一社を止めるにすぎない。報告書自身も、こうした攻撃を可能にしているのがDiscover-Techだけである可能性は低いとみている。

Hacker Newsの別の議論は、責任を技術のレイヤーへ移す。本当の問題は広告ではなく、JavaScriptからコード実行へつながるエクスプロイトが成立してしまうことであり、ブラウザのプロセス分離をさらに強化すべきだという意見である（直接の引用ではなく、コメントの要旨の要約）（@ActorNightly）。この指摘は正しいが十分ではない。ブラウザの脆弱性は今後も出てくるし、広告オークションはその脆弱性を、狙ったたった一人に正確に届ける物流網として機能する。脆弱性が弾薬だとすれば、RTBは照準装置だ。どちらか一方を直すだけでは脅威モデルは閉じない。

結論

冒頭の問いに戻ろう。広告エコシステムは悪用されたのか、それとも設計どおりに動いただけなのか。報告書が描き出した姿は後者に近い。特定の個人を識別し、その人の端末でだけ望むコードを実行させることは、RTBの逸脱ではなく、RTBが売っている商品の定義そのものである。Discover-Techがしたのは、その商品の「広告」の部分を別のものに差し替えたことだけだった。認定リストに名前を載せ、ありふれたバナーを買い、標的でない人には空のレスポンスを返した。取引所から見えるものはすべて正常だった。

だからこの件の教訓は「悪い会社を一社捕まえた」では終わらない。今回は攻撃者がデータベースを公開状態にし、認証のないエンドポイントを残すというミスを犯した。ミスをしない次の業者は、同じ経路をはるかに静かに使うだろう。組織のセキュリティ担当者にとっての実務的な結論ははっきりしている。広告は信頼できない第三者コードであり、広告ブロックと広告IDの無効化は、いまやパッチ管理と同じ列に並べるべきものだ。広告業界に残る問いはもっと重い。「認定」がチェックボックスで得られるかぎり、認定リストは防衛線ではなく偽装の材料になる。

出典: