10月15日、Wiredが「'Nightmare Scenario': Zero-Click Spyware Is Infecting Phones via Targeted Ads」と題した記事を公開した。報道機関Al Jazeeraの職員が所有する45台のデバイスが、広告を「見るだけ」でスパイウェアに感染する攻撃の標的になったことが、トロント大学のCitizen Lab（インターネット上の監視・検閲・セキュリティ脅威を研究する著名な学術機関）の調査によって明らかになった。

「広告が表示されるだけ」で感染する

Citizen Labの研究者たちが今回明らかにしたのは、ユーザーがリンクをタップするどころか、画面を見るだけで——広告が表示された瞬間に——デバイスにスパイウェアが侵入するという攻撃手法だ。研究者たちはこれを 「AdFection」 と命名した。

「このような形でハックされても、被害者には何も見えない。広告すら表示されないこともある」とCitizen Labのシニアリサーチャー、Bill Marczakは語る。これまでのゼロクリック攻撃（ターゲットの操作を一切必要とせず自動的にマルウェアをインストールする手法）は、WhatsAppやiMessageなどメッセージングアプリの脆弱性を突くケースが主流だった。今回、それがデジタル広告のインフラ全体と融合した形として、詳細な技術的証拠とともて初めて報告された。

Al Jazeeraの45台が標的に

2024〜2025年にかけて、カタールの報道機関Al Jazeeraの職員が所有する45台のデバイスが、広告経由のゼロクリック攻撃の標的になったとCitizen Labは結論付けている。Al Jazeeraは調査に協力し、デバイスのネットワークログを研究者に提供した。

「Al Jazeeraのネットワークログが、広告ベースの攻撃であることを理解する鍵だった」とMarczakは言う。「個人のスマートフォンが自宅Wi-Fiや携帯回線経由で標的にされた場合、同レベルのネットワーク監視は存在しない。これまで報告が少なかったのは、主に可視性の問題だと思う」

言い換えれば、同様の攻撃が今も広範に行われている可能性があるが、観測する手段がないために表面化していないだけかもしれない。

攻撃の仕組み：リアルタイム入札インフラが悪用された

オンライン広告の多くは リアルタイム入札（RTB: Real-Time Bidding） という仕組みで配信される。広告が表示される数ミリ秒の間に自動オークションが行われ、広告主はユーザーのデバイス情報・位置情報・閲覧履歴などを大量に取得できる。RTBではこの入札プロセス中に広告クリエイティブとともにJavaScriptや任意のコードをデバイスへ送り込める構造があり、これが今回の攻撃ベクターとなった。

具体的には、イスラエルに登録されたマーケティング企業 Discover-Tech が運営する広告プラットフォーム「Controlium」が、広告表示の時点でデバイスの匿名解除・フィンガープリント取得・自動感染を可能にする機能を持つとされている。感染したデバイスはその後、イスラエルのスパイウェア開発者 Candiru に関連するインフラへ接続された。Candiruは2021年に米商務省からエンティティリスト（輸出制裁対象リスト）に追加されたスパイウェアベンダーで、現在はIntegrity Partnersがその事業資産を引き継いでいるとされている。

Citizen Labの分析によると、2026年3月から6月の間にDiscover-Tech関連の広告が7万以上のモバイルアプリ、12万以上のウェブサイトで表示されており、複数のアプリでは100万件を超える広告インプレッションが確認された。さらに、NATO・国連のネットワーク、欧州の立法機関、オーストラリアの重要インフラ、ノルウェーとスウェーデンの軍・政府機関でもDiscover-Techの広告インプレッションが観測されている。

Googleと広告業界の対応

Citizen Labおよびアドテク向けセキュリティ企業 Confiant（悪意ある広告クリエイティブの検出・ブロックを専門とする）との共同調査を経て、Google はDiscover-Techを広告プラットフォームから排除し、Safe Browsingの警告設定も行った。

広告業界団体 IAB Europe もDiscover-Techをグローバルベンダーリスト（GVL）から停止処分とし、「スパイウェアに関する知見がさらに確認されれば、恒久的な排除も正当化される」と述べている。ComcastグループのBeeswaxも同社をプラットフォームから削除したと発表した。

ユーザーができる防御策は限られている

研究者の一人は「広告を表示するウェブサイトやアプリを使うだけでスパイウェアに感染するリスクは、悪夢のシナリオだ」と述べている。現時点でユーザーが取れる対策として研究者が挙げているのは、あらゆるプラットフォームで広告をできる限りブロックすることのみだ。

MarczakはNSAやCIAといった情報機関もこのリスクを認識しているとみられると指摘した上で、こう警告する。「広告のアーキテクチャが変わるか、広告企業が顧客審査を本気でやらない限り、こういった悪用は繰り返される」

詳細は'Nightmare Scenario': Zero-Click Spyware Is Infecting Phones via Targeted Adsを参照していただきたい。