新たに明らかになった広告を利用した監視活動が、リアルタイム入札（RTB）の仕組みを悪用し、世界各地の機微な場所にいるインターネットユーザーを追跡・プロファイリングしていることが分かりました。
「SHADOW-EARTH-79」として追跡されているこの主体は、紛争地域や制裁対象国など、戦略的に重要な地域の広告枠を狙っています。
今回の調査結果が示すのは広告オークションの仕組みの悪用であり、Googleのシステムが侵害されたことが実証されたわけではありません。研究者は、この活動が一般的な商用広告事業ではなく、追跡とターゲティングのためのインフラとして機能していると、中程度から高い確度で評価しています。
リアルタイム入札（RTB）では、広告の表示枠が数ミリ秒の間にオークションにかけられます。買い手候補が表示枠を評価できるよう、広告プラットフォームは配信元デバイスの情報を、競合する入札者に配信します。その中には、ユーザーが直接やり取りすることのない事業者も含まれます。
実装によっては、入札リクエストから位置情報、IPアドレス、自律システム番号、デバイスの特性が漏れる可能性があります。これらのシグナルを広告ID、クリック追跡、位置履歴と組み合わせると、広範な行動プロファイリングが可能になります。
落札者はその後、広告クリエイティブを配信します。研究者は、細工されたクリエイティブによって、追加データを収集するJavaScriptが配信される恐れがあると警告しています。その場合、オークションで既に公開された情報にとどまらず、監視が拡大しかねません。
この手法なら、最初にデバイスを侵害しなくても情報収集が可能になります。広告インフラは、偵察、対象者の特定、移動の分析に使えるほか、選定したデバイスに合わせたコンテンツを配信する用途にも使える可能性があります。
集計データセットの対象期間は2025年12月31日から2026年8月15日で、取得したリクエストは8,470万件、購入者に紐づくイベントは約844万件に上ります。
Trendaisecurityの調査では、232カ国にわたる154の購入者シートを調べました。ただし、技術的な制約から、分析対象は1つのデマンドサイドプラットフォーム（DSP）に限られています。
この可視範囲内で、SHADOW-EARTH-79は49カ国で最大の落札者でした。確認されたシェアは、ハンガリーで91.1%、イスラエルで90.1%、エジプトで77.2%、アゼルバイジャンで75.2%に達しています。
Starlinkのトラフィックでも、顕著な集中が見られました。同主体が配信した広告は66,208件で、観測されたStarlink広告の12.9%を占めています。全体のベースラインのシェアは2.6%でした。
これは4.9倍の上振れに相当し、一般的な広告配信の規模から予想される水準を大幅に上回る露出です。研究者は、105カ国でSHADOW-EARTH-79がStarlinkトラフィックの最大の落札者だったことも突き止めました。
ただし、IPアドレスによる位置推定には不確実性が伴い、ミャンマーとスーダンをめぐっては食い違いも出ています。調査担当者はAIを活用した分析により、この活動のインフラに関連する、公開されたJavaScriptバンドルからアプリケーションの機能を再構築しました。
復元したインターフェースには、手動でのスクリプト挿入、匿名化の解除、高度なIPアドレスのフィルタリングといった機能がありました。これらの機能と不自然な入札パターンから、研究者はこのプラットフォームが監視と情報収集を目的としていたと評価しています。
一方、今回の調査結果では、運営者の身元や政府との関係、特定の個人への侵害が成功したかどうかは確認されていません。TrendAIは、同様に不審な購入パターンを示す広告主を調査することと、機微なネットワークやデバイスでの広告トラフィックを制限することを推奨しています。
リスクの高いユーザーは、広告付きアプリの利用を控え、アプリの権限を絞り、広告のパーソナライズを無効にし、広告IDのリセットも検討すべきです。研究者は、広告を非表示にするだけでは追跡を防げない可能性があると注意を促しています。
防御策としては、機微なデータを広告のバックエンドに渡さないこと、可能な限り広告タグを削除すること、既知の不審なインフラのエンドポイントをブロックすることが重要です。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/hackers-exploit-online-ads-starlink-users/
