- 研究者が、オンライン広告を通じて配信され、ユーザーの操作を一切必要としないゼロクリックのスパイウェア攻撃キャンペーンを発見
- ジャーナリストのデバイスが、データ・メッセージ・音声・映像を盗み出せる監視型マルウェアに感染
- 調査の結果、広告テクノロジーのインフラと商用スパイウェアに関わるイスラエル企業の関与が判明
あなたがジャーナリストだと想像してみてください。出社してパソコンにログインし、いつもどおり仕事を進めます。ネットを閲覧していると、イヤホンの広告が表示されました。広告をクリックすることも、興味を持って眺めることもありません。インターネット上の他の広告と同じように表示されただけで、そのままスクロールして仕事を続けます。
ところが、広告が表示された瞬間、そこを経由して強力な情報窃取マルウェアにパソコンが感染しました。マルウェアはファイル、文書、Cookie、ブックマーク、さらには保存された認証情報まで、あらゆる機密データを収集します。キーストロークを記録し、作業中の画面のスクリーンショットを撮り、マイクやカメラを使って作業中の様子まで録音・録画することもできました。
電子メールのほか、さまざまなプラットフォームでやり取りされるインスタントメッセージも収集され、外部に送信されていました。
ミッション：インポッシブルさながらの事態
映画「ミッション：インポッシブル」の一場面のように聞こえるかもしれませんが、残念ながらこれは紛れもない現実です。被害者はアルジャジーラのジャーナリストら（ほかにも被害者がいます）です。2024年、一部のジャーナリストが端末の挙動がおかしいことに気づき、カナダのサイバーセキュリティ組織Citizen Labに相談しました。Citizen Labは、オンライン広告を通じて配信されたゼロクリックの傭兵型スパイウェア攻撃として、世界初の事例であることを確認しました。研究者らはこの攻撃を「AdFection」と呼んでいます。
アルジャジーラとCitizen Labの双方が調査結果を公表しました。ジャーナリストを狙った攻撃の黒幕は依然として不明ですが、研究者らは、攻撃を可能にした企業を特定しています。イスラエルの2社で、うち1社は5年前から米国のブラックリストに載っています。
2社の名前はCandiruとDiscover-Techです。前者は、政府機関の顧客に高度な監視ツールを販売する傭兵型スパイウェア企業で、情報窃取マルウェアとその配信の仕組みを構築したとされます。研究者らは、このツールを購入してジャーナリストを監視していたのが誰なのかには言及していません。ただし、この情報窃取マルウェアの価格は「数百万ドル」に上るとしています。
Candiruは現在、社名変更と買収が報じられたことを受け、Integrity Labsとして知られています。米商務省は2021年11月初旬、同社が外国政府にスパイウェアを供給し、その政府が政府関係者、ジャーナリスト、活動家らの標的化に使っていたとする証拠を挙げて、同社をブラックリストに掲載しました。ただし、Candiruは2026年7月下旬にリストから除外されたようです。
感染経路におけるもう1社がDiscover-Techです。同社はイスラエルの広告テクノロジー企業で、自動化された広告取引所を通じてデジタル広告枠を購入するデマンドサイドプラットフォーム（DSP）「MyDSP」を運営しています。つまり、Candiruのマルウェアを仕込んだ広告は、Discover-Techのインフラを通じて配信されたとみられます。
この発見により、Discover-Techがそもそも正当な事業を営んでいたのか、それとも極めて高度なサイバースパイ活動の隠れみのにすぎなかったのかという疑問が浮上しています。
標的は誰か
Citizen Labの研究者らは次のように記しています。「イスラエルに拠点を置くDiscover-Techは、正当な広告会社を装っているものの、大規模な広告スパイ行為の隠れみのであるとする技術的証拠を提示します。実際、この橋渡し役を果たすことこそが、Discover-Techの主な目的であるとみられます」
The Registerによると、同社は2020年から、GoogleとIAB Europeの双方で承認済みベンダーとして登録されていました。Citizen Labは約40億件の広告入札記録を分析し、2026年第2四半期だけで、7万を超えるモバイルアプリと12万のウェブサイトでDiscover-Techの広告を確認しました。
そこで問題になるのは、何人が影響を受けたのか、そしてその人々がどこで働いているのかという点です。
Citizen Labによると、2024年と2025年に、アルジャジーラ所属の少なくとも45台のデバイスがこの手口で侵害されました。The Registerは、ニューヨークを拠点とする広告セキュリティ企業Confiantのデータを引用し、Discover-Techの広告の一部が、米国防総省、国連の国際原子力機関（IAEA）、国際刑事裁判所（ICC）が使う重要なネットワークにも表示されていたと報じています。ICCは2024年、イスラエルのベンヤミン・ネタニヤフ首相に対し、戦争犯罪と人道に対する罪の責任があるとして逮捕状を出した裁判所です。
