ジャーナリストを監視するのに、もはやスマートフォンをハッキングしたりコンピューターに感染させたりする必要はありません。モバイルアプリや広告プラットフォームがターゲティングのために収集するデータだけで、特定端末の移動経路を再構築し、自宅や職場を特定し、場合によっては広告識別子を実在の人物と結びつけることができます。ジャーナリスト保護委員会(CPJ)とハーバード・ケネディスクールのCarr-Ryan人権センターによる共同調査によると、広告インフラは事実上、既製の大規模監視システムと化しており、民間企業だけでなく法執行機関や政府機関もアクセス可能な状態にあることが分かりました。
無料サンプルに含まれる100万台の端末
特に衝撃的な事例の一つが、あるアメリカのデータブローカーが提供する無料サンプルデータで、ベルギー人ジャーナリストのNicolas Baudoux氏が入手したものです。このデータセットはわずか2025年の2週間分に過ぎませんでしたが、約100万台の端末情報と1億件の位置情報ポイントが含まれていました。このサンプルを分析することで、ジャーナリストたちは特定の個人を識別し、その移動経路を再構築することができました。
ドイツ人ジャーナリストのIngo Dachwitz氏も、同様の無料データベースの中に自分自身の移動記録を発見しました。位置座標の出所を調べたところ、Dachwitz氏が位置情報アクセスを許可していた天気予報アプリであることが判明しました。別の調査では、ある商用データセットから、ベルリン在住のエジプト人ジャーナリストBasma Mostafa氏の日常的な移動経路を、自宅や頻繁に訪れる場所も含めて再構築することができました。ここまで詳細な移動履歴があれば、ジャーナリスト本人だけでなく、その人物が接触する相手までもが特定されるリスクが生じます。
リアルタイム入札(RTB)が果たす役割
このリスクの多くは、広告プラットフォームが数分の一秒単位で広告枠を販売するRTBオークションに起因しています。ユーザーがサイトやアプリを開くと、端末のプロファイルが広告市場の参加者に送信されます。このプロファイルには、位置座標、端末の詳細情報、興味関心、職業などの属性が含まれることがあります。この調査の著者らが取材した専門家によれば、ビッドストリームデータの一部を収集するために、市場参加者が必ずしもオークションに勝って広告表示権を獲得する必要はないといいます。
広告識別子と実際の身元
スマートフォン所有者の氏名が広告ストリームに乗せられることは通常ありませんが、プロファイルはモバイル広告識別子と紐づけられています。ブローカーや専門サービスはこうした識別子を他のデータセットと照合することができ、場合によっては端末の実際の所有者を特定できてしまいます。米連邦取引委員会(FTC)は以前から、広告識別子は真の匿名性を保証するものではないと警告しており、さらにAIの進歩によって別々のデータセット間のつながりを発見することがますます容易になっています。
座標情報にとどまらない脅威:既製のオーディエンス
危険は座標情報だけにとどまりません。広告プラットフォームXandrの2021年のデータセットから、研究者らは英国の女性ジャーナリスト向け、ジャーナリズムやニュースに関係する人物向け、そしてCPJに関心を示したユーザー向けの、既製のオーディエンスセグメントを発見しました。こうした事前に用意されたセグメンテーションを使えば、まず特定の職業グループを絞り込み、その後、位置情報や広告識別子、その他の商用データを利用してターゲットの範囲をさらに絞り込むことが可能になります。なお、MicrosoftはXandrを2025年にMicrosoft Advertisingへ統合しています。
ADINT市場の台頭
商用広告データセットを取り巻く形で、マーケティングの仕組みを諜報活動や標的型監視に転用する、独自のADINT市場が形成されつつあります。2026年4月、Citizen Labは、企業Penlinkの製品であるWeblocを詳細に分析しました。このツールは、モバイルアプリやデジタル広告から得られるデータを利用し、世界中の数億台に及ぶ端末を追跡するというものです。研究者らが特定した顧客の中には、米国、ハンガリー、エルサルバドルの法執行機関や政府機関が含まれていました。Penlinkは、Citizen Labの結論の一部に異議を唱え、自社は米国のプライバシー法を遵守していると表明しています。
追跡からスパイウェア配信へ
最も危険なシナリオは、広告インフラを単なる追跡だけでなく、スパイウェアの配信にまで結びつけるものです。報告書の著者らは、まず標的となるスマートフォンの広告識別子を特定し、次に広告市場上でその端末を見つけ出し、特別に用意した広告を表示させるという手口を説明しています。この手法は「ハーフクリック」と呼ばれています。被害者がバナーをタップする必要はありませんが、感染が成立する前に必ず広告の表示が発生します。
報告書では、Intellexaが開発した製品Aladdinが取り上げられています。これは広告の表示(インプレッション)を利用して端末を攻撃者側のインフラへリダイレクトさせるものです。広告が開かれると、埋め込まれたJavaScriptによってスマートフォンがスパイウェアの運用者が管理するサーバーへとリダイレクトされ、そこからさらなる感染チェーンが起動されます。従来のリンク型攻撃とは異なり、ユーザー自身が広告をクリックする必要さえありません。Aladdinを通じた感染が公に確認された事例は今のところ報告されておらず、研究者らはこの手口を、広く実証された手法というよりも新たに浮上しつつある脅威と位置づけています。
リスクを減らすには
このリスクを軽減するため、CPJは広告識別子とパーソナライズ広告を無効化すること、アプリの位置情報アクセスを制限すること、広告SDKが組み込まれたアプリをより慎重に扱うこと、そしてブラウザで広告ブロッカーを使用することを推奨しています。同調査の著者らは、この問題が広告市場のアーキテクチャそのものと、すでに収集されたデータセットの再販売の仕組みに根ざしているため、ユーザー側の設定だけでは収集される情報の量を減らせるに過ぎないと強調しています。
翻訳元: https://meterpreter.org/ad-tech-surveillance-journalists/
