ターゲット広告使ったゼロクリック攻撃で、アルジャジーラの複数端末がCandiru製スパイウェアに感染

佐々山 Tacos

2026.10.16

[開く][閉じる]

ターゲット広告使ったゼロクリック攻撃で、アルジャジーラの複数端末がCandiru製スパイウェアに感染

ターゲット広告使ったゼロクリック攻撃で、アルジャジーラの複数端末がCandiru製スパイウェアに感染

CyberInsider – October 15, 2026

報道機関アルジャジーラの保有する複数のデバイスが、ターゲット広告を使ったゼロクリック攻撃によりイスラエルの商用スパイウェアベンダーCandiru（現Integrity Labs）社製スパイウェアに感染していたという。Citizen Labが報告した。

Citizen Labが「AdFection」と名付けたこの手法は、ターゲット広告を通じた商用スパイウェア配布が公然と技術的に確認された初めてのケースだとされる。研究チームによれば、このスパイウェアキャンペーンでは、イスラエルの広告企業Discover-Techが仲介役としてスパイウェアオペレーターと主流な広告インフラとを繋ぎ合わせる役割を担っていたとものとみられる。

Discover-Techは広告テクノロジープロバイダーを自称する企業で、広告枠買い付けプラットフォーム「MyDSP」を運営。加えて、「Controlium」と呼ばれる別のプラットフォームも運営していることも、Citizen Labは発見している。同プラットフォームの顧客は、モバイル広告や識別子、ブラウザCookie識別子、IPアドレスを使って、プロファイリングや感染の対象となる個人を選択できるようになっているという。

Citizen Labによれば、アルジャジーラで使用されていた少なくとも45台のデバイスが2024年〜2025年にAdFection攻撃の標的になったとされる。同報道機関が提供したログからは、侵害されたデバイスがDiscover-Tech社のインフラと接触したのちにCandiruの検証用サーバーおよびC2サーバーに接続していたことが示されているという。Candiruはイスラエルで創設された商用スパイウェアベンダーで、これまでにもジャーナリストや活動家、政治関係者などを狙ったスパイウェア攻撃との関連が指摘されていた。

Citizen Labは、AdFection攻撃はまずDiscover-Techが広告枠オークションに競り勝ち、広告をターゲットデバイス上で開かれる特定のWebサイトまたはアプリに配置するところから始まると説明。配置された広告は、レンダリングされるとDiscover-TechサーバーからJavaScriptをリクエストする。すると、サーバーは訪問者の識別子と適格性に基づいてコードを返し、選ばれたデバイスのみをスパイウェアインフラへリダイレクトするという。Citizen Labによれば、、自動オークションの開始から被害者デバイスの感染およびスパイウェアによるC2チャネル確立までにかかる時間はおよそ1〜3分ほどだとされる。

Citizen Labの研究者らはまた、2026年3月から6月における公開入札記録およそ40億件の分析も実施。Discover-Tech社のMyDSPプラットフォームは約37億7,000万件の入札を行い、約4億4,200万件のオークションで落札を行ったものとみられることも突き止めている。

広告自体を見ると、Discover-Tech社のリモートスクリプトローダーを含んでいると評価された広告はAndroid・iOSアプリ75,373件と、Webサイト120,768件に登場したとされる。これらのアプリやWebサイトは、メッセージングアプリ、天気、健康管理系、マッチングアプリ、ゲーム、大手ニュースサイトなどさまざまだったという。

これらの広告のインプレッションはNATOや国連の諸機関、政府機関、防衛企業、重要インフラ事業者などに関連するネットワークでも観測されている。インプレッション単体でスパイウェアの標的や感染有無を確定的に判断することはできないものの、Citizen Labは、この到達範囲の広さにより、プロファイリングや潜在的な侵害の機会が生み出されていると警告した。

さらにCitizen Labの調査では、Discover-Techと別のサーベイランス（監視）ベンダーBindecyおよびIntelosとの結びつきも判明。またこれらとは別のアクター「DARK CARTOGRAPHER」が、30か国以上でモバイルネットワークの脆弱性を悪用し、Discover-Techのインフラを使用して広告識別子と電話番号の紐付けを行っていたとされることもわかっている。

調査の結果を受け、Googleなど複数組織が以下のような対応を行った：

Google：自社広告エクスチェンジへのDiscover-Techによるアクセス権を停止し、攻撃者によって制御されている既知のドメインに対して「セーフブラウジング」による保護措置を実施
IAB Europe：Discover-Techをベンダー登録簿から削除
Beeswax（FreeWheel）：広告枠買い付けプラットフォームからDiscover-Techを除外
Eskimi：Discover-Techのアカウントとドメインをブロック
Vungle（Liftoff）：審査が完了するまでアクセスを一時停止

Citizen Labは、デバイスおよびネットワークゲートウェイのレベルで広告やトラッキングをブロックすること、可能な限り広告識別子を無効にすること、また広告関連のトラフィックを点検して不審な接続がないか確認することなどを推奨している。