トロント大学のCitizen Labは、標的型広告を利用して、被害者が広告をクリックしたり操作したりすることなく、iOSおよびAndroid端末に高度なスパイウェアをインストールするサイバーキャンペーンを明らかにした。同研究所はこのキャンペーンを「AdFection」と名付け、2024年と2025年にAl Jazeeraのメディア組織で45台の端末に感染させたと述べた。
調査結果によれば、このキャンペーンが重要なのは、標的型広告を通じて傭兵型スパイウェアが配信されたことを示す、初の有力な確認例だからだ。このシナリオでは、ウェブページを読み込むか、インストール済みのアプリを開くだけでエクスプロイトの過程が始まる。一方、感染は通常、専門的なフォレンジックツールやソフトウェアなしにユーザーが気づくことはない。
広告エコシステムはどのように利用されたのか？
Citizen Labによると、広告を提供したのはイスラエル企業のDiscover-Techで、同社は自らを合法的な広告会社として位置づけている。しかし同研究所は、同社について、広告の購入者とパブリッシャーまたはアプリ開発者の間に立つ仲介業者であり、広告市場と傭兵型スパイウェアのエコシステムを結びつける役割を果たしていると説明した。
この種の仲介は、モバイル端末識別子、位置情報、IPアドレスなどのデータを使い、特定の層を対象にする広告オークションに基づいている。同研究所は、Discover-Techが処理した40億件超の入札記録を入手した。記録からは、2026年3月から6月までの間に、同社の広告が7万以上のモバイルアプリと12万のウェブサイトで表示されたことが分かった。
調査結果によると、Discover-Techは欧州連合域内のユーザーを標的にするため、欧州一般データ保護規則（GDPR）に関連する同意フレームワークを利用していた。また、同社はGoogle、Yandex、Beeswaxのネットワークを通じて広告を表示していた。GoogleとIAB Europeは、同社の名称を記録から削除する前、同社を「承認済み」または「検証済み」のベンダーとして登録していた。その後、Googleは同社による広告取引プラットフォームへのアクセスを終了させた。Beeswaxも同社をプラットフォームから削除し、Liftoff傘下のVungleは調査のためアクセスを一時停止した。一方、Eskimiは同社のアカウントとドメインをブロックした。
実際に何が変わったのか？
調査によると、広告は特定のプロファイルに一致する標的に表示され、その後、JavaScriptまたは別のコードがCandiruのコマンド・アンド・コントロールサーバーに接続した。サーバーはさらに、ユーザーの操作なしに悪意あるペイロードをインストールするエクスプロイトを返した。Citizen Labは、Candiruがこのソフトウェアを開発・配布し、現在はIntegrity Labsの名称で活動していると述べた。
報告書は、悪用された脆弱性や、キャンペーンが最終的にインストールしたソフトウェアを明らかにしていない。情報源は、それらが「ゼロデイ」脆弱性であり、Citizen Labがキャンペーンを発見した後に修正された可能性が高いと見ているが、この点は公開された技術的詳細によって確認されていない。また、Discover-TechとCandiruはコメント要請に応じなかった。
なぜこのニュースが重要なのか？
Citizen Labによると、Discover-Techに関連する広告は、北大西洋条約機構（NATO）と国連に属するネットワーク、欧州の立法機関、さらにオーストラリアの重要インフラ事業者、ノルウェーとスウェーデンの政府機関および軍にも表示された。同研究所は、報道機関、ジャーナリスト、編集者、その職員が直接の標的になり得ると警告している。
このキャンペーンは、問題が被害者の端末にとどまらないことを明らかにした。広範な商業オーディエンスを特定するために設計された広告ターゲティングツールが、極めて専門性の高いスパイウェアを配信する経路に変わり得るのだ。そのためCitizen Labは、広告主と政府関係者に対し、この種のキャンペーンを防ぐための先制的な措置を取るよう呼びかけた。
リスクの低減策として、情報源は広告ブロックの利用、iOSおよびAndroidでの広告識別子のリセット、自宅やオフィスのネットワークへのブロックツールの導入に加え、OSやソフトウェアのアップデートが提供され次第インストールすることを推奨した。ただし、脆弱性の詳細と最終的なペイロードは公開されていないため、これらの対策によってあらゆるケースで感染を防げることが確認されているわけではない。