シチズン・ラボとアルジャジーラ、広告経由のゼロクリック型スパイウェア「AdFection」を公表

カナダのセキュリティ研究機関シチズン・ラボとアルジャジーラは、オンライン広告を通じて端末に感染するゼロクリック型スパイウェア作戦の調査結果を公表した。作戦は「AdFection」と名付けられた。シチズン・ラボは、オンライン広告を媒介としたゼロクリック型の民間スパイウェア配信としては初めて確認された事例だとしている。

情報窃取型マルウェアは、ファイルや文書、Cookie、ブックマーク、認証情報を収集したうえで、キー入力と画面のスクリーンショットを記録し、マイクとカメラを使って被害者の音声や映像を録音・録画していた。

シチズン・ラボによると、このマルウェアと配信の仕組みは民間スパイウェア企業カンディル（現在はIntegrity Labs）が開発した。広告はイスラエルの広告技術企業Discover-Techが運営する需要側プラットフォーム（DSP）「MyDSP」を通じて配信されたとされる。シチズン・ラボは約40億件の広告入札記録を分析し、2026年第2四半期だけで7万以上のモバイルアプリと12万以上のウェブサイトでDiscover-Techの広告を確認した。

シチズン・ラボによると、2024年から2025年にかけて少なくとも45台のアルジャジーラ端末がこの手口で侵害された。ニューヨークの広告セキュリティ企業ConfiantのデータをThe Registerが報じたところによると、Discover-Techの広告の一部は米国防総省やIAEA、国際刑事裁判所が利用するネットワークにも表示されていた。

カンディルとDiscover-Techをめぐる経緯

米商務省は2021年11月初旬、外国政府へのスパイウェア提供を理由にカンディルをブラックリストに指定した。同社は2026年7月下旬に指定を解除された。The Registerによると、Discover-Techは2020年からGoogleとIAB Europeの承認ベンダーとして登録されていた。シチズン・ラボは、研究者の推計として情報窃取型マルウェアの費用が数百万ドル規模だとしている。