Citizen Labの新たな報告書は、AdFectionと名付けられたスパイウェアを明らかにした。このスパイウェアは、悪意のある広告を表示するだけでスマートフォンやコンピューターに感染させることができ、被害者がリンクをクリックしたりファイルを開いたりする必要がない。研究者らは、これを電子広告を通じて配信され、「ゼロクリック」方式で動作する、政府支援のスパイ攻撃について初めて確認された事例だと説明している。
報告書によると、この技術は、合法的な広告会社を自称するイスラエル企業Discover-Techが開発した。このシステムは、アルジャジーラのネットワークに所属するジャーナリストや職員のほか、北大西洋条約機構（NATO）、欧州委員会、NVIDIA、Armを含む機関や組織の職員および関係者を標的にするために使用された。
広告はどのようにスパイ活動の経路になったのか？
Discover-Techは、ターゲティング広告で使われるリアルタイム入札システムを悪用した。このシステムは、広告主が特定のユーザーに広告を表示する権利を競うことを可能にする。Citizen Labによると、この仕組みはその代わりに、ユーザーを特定したり匿名性を解除したりしたうえで特定の標的を選び、通常の広告に見える広告の中に悪意のあるコードを組み込むために使われた。
この手法が危険なのは、広告ネットワークの規模が広範であるためだ。同団体によると、このシステムに関連する広告は、BBCやThe New York Times、Duolingo、Badoo、Grindrなどのアプリを含む12万以上のウェブサイトで、合計4億4200万回表示された。また、軍隊、政府、重要インフラ、各国のサイバーセキュリティ機関が使用する端末にも広告が表示された。
Googleの対応と残された疑問
Googleは、この技術の標的となった広告プラットフォームの一つだったが、Citizen LabおよびConfiantとの共同調査後、Discover-Techを世界のサプライヤーリストから除外した。Googleは、同社が自社のポリシーに組織的に違反したため、プラットフォームからブロックしたと述べた。
研究者らはまた、Discover-Techのウェブサイトへのログイン記録から、スパイウェア企業Candiruの従業員に関するデータも発見した。Discover-Techおよびこの計画で言及されたその他の関係者は、記事の公開時点でコメントしていない。
なぜこのニュースが重要なのか？
今回の発見は、膨大な数のウェブサイトやアプリを通じてユーザーに到達するデジタル広告モデルが、被害者による明確な行動を必要としない感染経路に変わり得ることを示している。これは、フィッシングやファイルのダウンロードに依存する攻撃と比べてリスクの範囲を広げるものだが、すべての広告やすべての広告プラットフォームが同じ方法で危険にさらされていることを証明するものではない。報告書が焦点を当てているのは特定のシステムと特定の企業であり、調査の全容はまだ明らかになっていない。
Citizen Labの研究者ビル・マルチャクは、明らかになった内容が「氷山の一角にすぎない」可能性があると述べ、身元や仕事を理由に標的にされる可能性のある人々に対し、広告トラッキングを無効にするか、広告をブロックするよう呼びかけた。技術がどの程度広がっているのか、実際に感染した端末が何台あるのか、利用作戦の背後にいる主体は誰なのかについては、公開されている資料では完全な答えが示されていない。