オンライン広告が表示されるだけで、スマートフォンやPCがスパイウェアに感染する恐れのある新たなサイバー攻撃が確認された。ユーザーによるクリックやファイルのダウンロードを必要としない「ゼロクリック」型で、既存の広告配信基盤が監視や侵入の経路として悪用された可能性がある。

Citizen Labは10月16日、イスラエルのアドテク企業Discover-Techのシステムを悪用したスパイウェア攻撃を確認したと発表した。トロント大学に拠点を置く同研究機関は、この攻撃を「AdFection」と命名した。

Citizen Labによると、標的型広告を通じてゼロクリック型スパイウェアが実際に拡散していたことを示す技術的証拠が公表されるのは初めてとみられる。

攻撃には、Discover-Techの広告プラットフォーム「Controlium」が使われた。攻撃者はIPアドレスや広告識別子などを基に標的端末を選別し、悪性広告を配信していたという。

広告が表示されると、広告内のコードが外部サーバーに接続し、追加のプログラムを読み込む仕組みになっていた。ユーザーが広告をクリックしなくても攻撃は進行し、標的ではない端末には悪性コードを渡さないため、検知は難しかったとしている。

Al Jazeeraによると、2024年から2025年にかけて少なくとも45台の端末が標的として設定されていた。複数の端末では、イスラエルのスパイウェア企業Candiruのマルウェアへの感染も確認されたという。

被害端末はDiscover-Techのサーバーを経由し、Candiruの検証サーバーや攻撃者の指揮統制（C2）サーバーに接続していたことも判明した。ただ、攻撃を指示した政府や組織は特定されていない。

Citizen Labが約40億件の広告入札記録を分析した結果、2026年3月から6月にかけて、関連広告は世界のWebサイトやモバイルアプリ約20万カ所に表示されていた。数百万台規模の端末がCandiruのサーバーに接続していた可能性があり、大規模な監視に利用された恐れもあるとしている。

Googleは今月初め、Discover-Techを広告事業者リストから除外し、広告取引ネットワークへのアクセスを遮断した。ほかの広告会社も同様の対応を進めた。

Citizen Labは、広告業界の自主規制だけではこうした攻撃を防ぐのは難しいと指摘した。そのうえで、広告システムのセキュリティ強化に加え、規制当局による調査が必要だと訴えている。