あなたを追跡しているのは誰か? この新サービスで突き止める

私たちが訪れるウェブサイトで広告を表示している責任者や、日常的に利用するモバイルアプリからデータを収集している者を特定するのは、なかなか骨の折れる作業です。こうした情報はすでに半ば公開されているとはいえ、簡単に解析できるわけではなく、これまでその多くは大手広告プラットフォームの手の中に閉じ込められたままでした。しかし、その状況は変わりつつあります。DecryptAdsという強力な無料の新サービスが、このアドテック関連データを収集・相関分析し、自分を追跡している事業者について手早く多くを知ることを可能にしてくれます。

新たに立ち上がったdecryptads.comは、ウェブサイトやアプリが「広告掲載やユーザーデータ収集を許可している企業」を開示するために公開しているファイルを常時収集していると説明しています。これらのファイルには次のようなものがあります。

–ads.txt:そのサイトで広告を配信したりデータを収集したりできるアドテック企業やデータブローカーの一覧
–app-ads.txt:モバイルアプリやスマートTVアプリからデータを収集したり広告を表示したりできる事業者の一覧
–buyers.json/sellers.json:特定のサイトやアプリの広告枠を売買・転売する事業者の一覧

Zach Edwards氏はDecryptAdsのチーフ・リサーチ・オフィサーであり、セキュリティ企業Infobloxの脅威リサーチャーでもあります。Edwards氏によると、これらのファイルに含まれるアドテック関連データは、複数の情報を突き合わせて初めて各ウェブサイトやアプリの広告エコシステム全体像を描けるようになるため、同氏を含む3人の創業者はこのサービスが必要だと判断したといいます。

「これはアドテックのツールですが、私たちはアドテックにセキュリティの視点からアプローチしようとしています」とEdwards氏は述べています。「これまで大きく手薄だったプライバシーやセキュリティのユースケースの多くに応えられるように作られたものです」

同氏によれば、そうしたユースケースには、標的型ユーザーにマルウェアを仕込もうとする悪意ある広告の発信元を突き止めること、敵対国に拠点を置く広告ネットワークを特定すること、そして急速に増殖するAI生成の低品質サイトやアプリ(いわゆる「AIスロップ」)を検出することなどが含まれます。そしてdecryptads.comが示す通り、こうした潜在的なセキュリティ・プライバシー上の脅威は、単一のads.txtやapp-ads.txtファイルを見るだけではほぼ発見不可能です。

「サプライチェーンの完全性に関わる問題は、単一のファイルだけに現れることはめったにありません」と同サイトは説明しています。「ads.txt、app-ads.txt、sellers.jsonの間で相互参照が破綻している形で表れたり、無関係なドメイン間で開示内容が丸ごとコピーされていたり、複数の広告取引所を横断して見て初めて意味を成すセラーの削除として表れたり、あるいは入札ログに登場するのに発行元の正規セラー一覧には一度も掲載されないサプライパスとして表れたりします」

絶大な人気を誇るスポーツネットワークespn.comをDecryptAdsで検索すると、ads.txtとapp-ads.txtのファイル内に143の広告パートナーと19の登録データブローカードメインが記載されていることが分かります。こうしたデータブローカー情報が徐々に明らかになりつつあるのは、カリフォルニア州、オレゴン州、テキサス州、バーモント州の4州が最近、これら州の消費者データを売買するデータブローカーに登録を義務付ける法律を制定したためです。DecryptAdsによると、これらデータブローカーのほぼ半数が、広告ブロックを使用していないespn.com訪問者から位置情報を収集しており、さらに3社はデバイスフィンガープリントや機微な個人情報を収集していると開示しています。

高リスクな広告パートナー

DecryptAdsでは、アプリやウェブサイトに潜む広告会社の受益者や国籍を簡単に調べることもできます。アプリやサイトのアドテックパートナーが中国やロシアといった「ジオリスク」地域、あるいはキプロスやアラブ首長国連邦(UAE)のようにその両国と強い金融・政治的つながりを持つ国に拠点を置いている場合には、目立つ警告が表示されます。

DecryptAdsによると、espn.comはロシア、中国、UAEのいずれかに拠点を置く4つの異なる広告事業者と提携しており、その中にはニューヨークの住所を掲げるアドテック企業Between Digitalも含まれます。しかし、Between Digitalの調書ではこの企業をロシア企業として扱っており、同社のパブリッシャー向け提案資料(PDF)がロシア最大の民間商業銀行であり、2022年にロシアがウクライナに侵攻した後に米国の制裁対象となった複数の金融機関の一つであるAlfa Bankを通じて処理されていることが示されています。KrebsOnSecurityはBetween Digitalおよび同社創業者の双方にコメントを求めており、いずれかから回答があれば本記事を更新します。

armytimes.com、airforcetimes.com、defensenews.com、navytimes.com、marinecorpstimes.com、federaltimes.comといった米軍関連の主要ニュースサイトを検索してみると、いずれもBetween Digitalによる広告配信とユーザー追跡を許可しているほか、UAEの2事業者と、所有者の秘匿性で知られるパナマの事業者1社とも提携していることが分かります。DecryptAdsによれば、Between Digitalはおよそ55,000のパートナーサイトから広告データを収集しています。

Between Digitalのapp-ads.txtファイルをたどっていくと、広告によって頻繁に中断される単純なウェブベースのゲームを扱う数百のドメインが浮かび上がってきます。Edwards氏によると、Between Digital自身の開示情報から、同社はポートフォリオの約3分の2において発行元(パブリッシャー)とリセラーの両方の立場を兼ねていることが分かるといいます。

「つまり彼らは基本的に入札の両サイドに関与していることになり、クライアントの広告費を自社が所有・運営するメディアやクライアントのインフラに誘導する余地が生まれます。要は利益相反の温床になり得るということです」とEdwards氏はKrebsOnSecurityに語りました。「今我々が直面している問題は、これまで何年もの間、こうしたads.txtやapp-ads.txtファイルをほとんど誰もチェックしてこなかったことにあります」

ウェブブラウザOperaは今も高い人気を保っていますが、2016年以降、中国企業Kunlun Techが過半数株式を保有し経営権を握っていることを知らないユーザーは多いでしょう(Operaの運営拠点自体はノルウェーのオスロにあります)。

DecryptAdsにあるOpera.comのプロフィールには、データを収集する登録データブローカーが27社挙げられており、その内訳はUAEのアドテックパートナー15社、中国6社、キプロス3社、ロシア2社、香港とウクライナが各1社となっています。ただしDecryptAdsは、これらの企業がOpera.comのads.txtおよびapp-ads.txtファイルに記載されたアドテックパートナー全体のわずか7%に過ぎないことも明記しています。

法的調書

DecryptAdsの機能の中で、筆者を何時間にもわたる調査の深みへと誘い込んだのが法的調書(Legal Dossier)検索です。1回の検索に数分かかりますが、最終的には特定のドメインやアプリを誰が所有しているか、いつ登録されたか、アドテック企業や他のウェブサイト・アプリとどのような別名や関係があるかといった、有用な情報が大量に出力されます。

例えば先月、KrebsOnSecurityはBitsightの研究者らが、非常に人気の高いTVストリーミングスティック製品群H96が、ユーザーのインターネット接続を密かに見知らぬ第三者へ貸し出していることを発見したと報じました。Bitsightはさらに、これらのデバイスが海賊版動画コンテンツのストリーミングに使われていないときには、自身をモバイル端末に偽装し、AI生成の低品質サイトの広告をクリックしていることも突き止めています。

Bitsightは、これらH96ストリーミングスティックに共通して見られる悪意あるアプリの多くを作成した中国企業Fengwo Groupが、モバイル端末になりすました何万台ものデバイスがクリックしている広告・AIスロップサイトのネットワークも運営していると結論付けています。

上のスクリーンショット左側に写っているAIスロップサイト(medicalbeautyhub dot com)について、Fengwo Group関連の(現在は休眠状態の)ドメイン名をDecryptAdsで法的調書検索すると、あるゲームサイト——giacoloredstones[.]com——とセラーID(1674071)を共有していることが分かります。このサイトにはさらに別のセラーID(103488000)も記載されています。

この後者のセラーIDをたどると、ロシアのYandex広告システム配下にある、極めて低品質なゲームや単純なユーティリティを扱い、訪問者に大量の広告を浴びせる数百のアクティブなウェブサイトが浮かび上がってきます。

ひっそりと行われる削除

Edwards氏によると、広告ネットワークは特定の広告主が不正なクリックや悪意ある広告表示に関与していると疑った場合、多くのケースでその事業者を承認済みパートナー一覧からひっそりと外すだけで、他者に自らの疑念を知らせることはないといいます。

同氏によれば、この慣行によって悪質なアドテック企業は説明責任を免れやすくなり、他の被害者を生み続けることになります。この可視性のギャップを埋めるため、DecryptAdsには「静かな削除」フィードという機能があり、同一のセラードメインや事業者名について、複数の広告取引所にまたがるsellers.jsonからの削除をすべて記録し相関分析します。

「アドテック業界のやり方として、誰かが広告詐欺に関するレポートを書いても、それは自社の顧客だけに共有され、公開されることはありません」とEdwards氏は述べています。「実際に行われる措置はsellers.jsonファイルからの排除だけで、誰にも知らされません。ある日そこにあったものが、次の日には消えている。だから誰が怪しいのかを追おうとしても、たいてい難しいのです。というのも、多数のアドテック企業が一斉にいろいろなものを削除しているからです」

マルバタイジングとAIスロップ

マルウェアを仕込んだり訪問者をフィッシングページへ誘導したりする悪意ある広告を挿入する行為、いわゆる「マルバタイジング」は、現代のアドテック業界において今も頻繁に見られる問題です。しかしEdwards氏によれば、こうした悪意ある広告は現在、様々な技術やサードパーティツールを駆使して不正広告を素早く検知する高トラフィックの大手サイトよりも、新たに生成されたAIスロップサイトの方でずっと多く見つかっているといいます。

「こうしたAIスロップの量産型コンテンツファームは、どこもそうした保護策にお金を払っていません」と同氏は述べています。「最も質の低いパートナーとばかり契約しているので、事実上、悪意ある広告でそのサイトの利用者を狙うための『滑りやすいレール』ができあがってしまうのです。マルバタイジング攻撃のほとんどはespn.comやhuffpost.comのようなサイトでは起きません。むしろ、検索結果にたまたま出てきたから訪れたような、質の低いコンテンツファームで起きています」

Edwards氏によると、AIスロップサイトは機械生成のブログ記事や画像で埋め尽くされており、住宅リフォームやインテリアから料理のレシピ、狩猟、自動車、家電まで幅広いテーマを扱っているといいます。同氏によれば、悪意ある広告の被害に遭った組織は次に何をすべきか分からず途方に暮れることが多いものの、ほとんどの場合、答えはそのサイトのads.txtやapp-ads.txtファイルに記載された事業者のいずれかにあるといいます。

「多くの真剣な組織が、この広告データを分解して分析しなければ、ほぼ毎日のように政府関係者をゼロクリック攻撃の標的にしているのが誰なのか分からないままだ、ということを理解し始めています」と同氏は述べています。

Edwards氏は、マルバタイジングとAIスロップの問題を本当の意味で制御するには、主要な広告ネットワークによるさらなるデータ共有が必要だと主張しています。具体的には、こうしたプラットフォームは「サプライチェーンオブジェクト(SCO)」と呼ばれる情報を広く共有していないと同氏は指摘します。SCOとは、各広告入札リクエストに付随する構造化データで、発行元から最終的な購入者に至るまで、広告インプレッションの受け渡しに関わったすべての売り手・転売業者・仲介者を購入者側が把握できるようにするものです。

「そのSCOを見れば、誰がそれを売った、あるいは転売したのか、そして最終的にそのマルウェアペイロードを配信したインプレッションを購入した事業者は誰なのかが分かります」とEdwards氏は説明します。「悪意あるゼロクリックリダイレクトそのものは見えるかもしれませんが、サーバーサイドでしか渡されないサプライチェーンオブジェクトがなければ、誰が自組織の関係者をマルウェアで狙ったのかは分からず、適切に対策を講じる手立てもありません。しかし、アドテック業界にこのSCOの開示を働きかけることができれば、悪質な広告の背後にいる犯人を突き止めるのがずっと容易になるでしょう」

DecryptAdsは、研究者がクエリを自動化したり、同サイトの機能を人気のAIプラットフォームに組み込んだりできるアプリケーション・プログラミング・インターフェース(API)も提供しています。

何をすべきか

ここまで紹介してきた事例を踏まえると、唯一まっとうな対応策はオンライン広告をすべて丸ごとブロックすることです。このアプローチは、アドテック企業やデータブローカーがあなたの詳細なプロファイルを構築し、ウェブ上や現実世界での行動を追跡することを難しくする効果もあるため、セキュリティ専門家の間で広く支持されています。

ただし、これは普段どのようにインターネットを閲覧しているか、サードパーティ製のブラウザプラグインや拡張機能にどれだけ信頼を置いているかによって大きく変わってきます。デスクトップやノートパソコンの通常のウェブブラウザで主に閲覧している方には、uBlock Origin Liteという優れた無料のオープンソース製品があり、メンテナンスもしっかり行われています。uBlock Originは、Firefoxなどモバイルブラウザでも動作するはずですが、どうやらAndroid端末に限られるようです。

iPhoneやiPadのユーザーにはAdblock Plusが手頃な選択肢です。パワーユーザー向けには、AdblockとuBlock Originのいずれもeasylist.toによるカスタムブロックルールに対応しています。このリストは頻繁に更新され、ウェブページからほとんどの広告を除去してくれます。

定評あるブラウザ拡張機能NoScriptは、承認されていないJavaScriptコードをすべてブロックするもので、たいていの広告読み込みも問題なく防いでくれます。ただし、NoScriptのようなスクリプトブロッカーは、各サイトを正常に表示させるためにどのスクリプトを許可すべきか常に自分で判断し続けるのを煩わしく感じる一般ユーザーには向かないかもしれません。

より技術に明るく、あるいは冒険心のある読者には、ローカルネットワークレベルでハードウェアによって広告をブロックするアプローチを強くお勧めします。これは間違いなく、最も安価で、最も安全で、最も拡張性の高い方法だからです。Raspberry Piと呼ばれる、安価で入手しやすい小型コンピューターに、microSDメモリカードとPi-holeという無料プログラムを組み合わせれば、ローカルネットワーク上のすべてのデバイス向けの強力な広告ブロッカーに仕立て上げることができます。適切にセットアップし、ルーターのネットワーク設定をPi-holeのDNSシンクホールおよびDHCPサーバーを使うよう変更すれば、そのネットワークに接続されたあらゆるデバイスで広告表示を防げるはずです。

ただし、広告ブロッカーは、ユーザーが自らインストールを選んだモバイルアプリ内部で行われる広告表示やトラッキングをブロックする効果はほとんどない点に注意してください。今や多くのウェブサイトが、サイトのサービスやコンテンツをより十分に楽しむためだと称して、ユーザーにモバイルアプリのインストールを促してきます。しかし私自身の経験では、それはアプリのほうがユーザー体験が格段に優れているからではありません(LinkedInは週に何度もメールで、アプリを使わない私たちにそう信じ込ませようとしてきますが)。むしろ、私が見る限り、ほとんどのモバイルアプリはひどい設計で、煩わしく、あるいは全く不要なものであり、選択肢があるなら私はほぼ常にウェブブラウザで直接サイトやサービスを利用することを選びます。

身も蓋もない真実を言えば、大手ウェブサイトが自社アプリの利用をしつこく勧めてくるのは、その方がユーザーを自社プラットフォームに長く引き留めやすく、利用者が誰で、何をして、どこにいるかについてはるかに精緻なデータを収集し(そして多くの場合は転売す)やすくなるからです。さらに、顧客にモバイルアプリのインストールを最も強く迫ってくる企業ほど、近ごろは決まってユーザーのデータを大規模言語モデルの学習に使うことへ、デフォルトで全員を同意させているようです。ですから、モバイル端末(スマートTVも含めて!)にインストールするアプリには注意を払い、そのプライバシー慣行やアドテック企業との関係についてもっと知りたければ、DecryptAdsで一覧を調べてみることをお勧めします。