研究者たちは、2024年にジャーナリストが遭遇したゼロクリック広告スパイウェアの事例を記録しており、それは日常的なブラウジングのリスクについての私たちの考え方を変えるものです。アルジャジーラとCitizen Labはともに、「AdFection」と呼ぶキャンペーンに関する調査結果を公開しました。このキャンペーンでは、民間軍事スパイウェアがオンライン広告を通じて配布されました。タップも、ダウンロードも、怪しいリンクも必要ありませんでした。

最終的に誰がジャーナリストを標的にしたのかという問いは、依然として答えが出ていません。研究者たちが把握していると述べているのは、誰が攻撃を容易にしたかということです。イスラエルの2社で、そのうち1社は約5年前から米国のブラックリストに掲載されています。

AdFectionがどのようにゼロクリック広告スパイウェアをジャーナリストに届けたか

ゼロクリック攻撃とは、被害者側の行動を一切必要としない攻撃です。従来のフィッシングは、添付ファイルを開くかリンクをタップすることに依存しています。今回の場合、配布チャネルは広告エコシステムそのものでした。広告はページが読み込まれるたびに自動的に読み込まれるため、悪意のある広告は、誰かがウェブサイトを訪問したというだけでデバイスに到達することができます。

これがこの手法を不穏なものにしています。ほとんどの読者が意識することのない広告ネットワークが、スパイウェアが移動する道になるのです。ターゲティング広告は特定のオーディエンスを選び出すように作られており、ブランドが特定のデモグラフィックにリーチできるのと同じ精度で、理論上は攻撃者が特定の個人にリーチできる可能性があります。

この研究に関する公開報道では、Discover-Techという広告会社の名前が挙げられ、スパイウェア製造業者がそれをデバイスへの到達に利用していると説明されています。これらの詳細はCitizen Lab報告書の二次報道に由来するため、依拠する前に正確な技術的記述については一次調査結果を確認してください。

Citizen Labとアルジャジーラが発見したこと

両組織はそれぞれ独自の調査結果を公表しました。アルジャジーラのジャーナリストも影響を受けた人々の中に含まれており、商用スパイウェアの調査で知られるトロント大学の研究グループであるCitizen Labがキャンペーンを分析し、AdFectionという名称を与えました。Citizen Labがゼロクリック広告がジャーナリストのデバイスに感染させていることを発見した件に関する以前の報道では、報告書をより詳しく解説しています。

報道から際立つ2つのポイントがあります:

  • 帰属の特定は不完全です。 研究者たちは仲介者を特定しましたが、標的を選んだ依頼者は特定していません。これは民間軍事スパイウェア市場では典型的なことで、ツールを構築する企業とそれを利用する当事者が異なることがよくあります。
  • ブラックリスト掲載企業が関与していました。 イスラエルの2社のうち1社は約5年間米国のブラックリストに掲載されています。これにより、そのような企業がどのように商業インフラやより広範な広告サプライチェーンとつながり続けているのかという厳しい疑問が生じます。

二次報道ではまた、この事例をターゲティング広告を通じて配布されたゼロクリック民間軍事スパイウェアの初の公的に確認された事例と表現しています。その枠組みは他者によって報道されたCitizen Labの研究の特徴づけとして扱い、正確な主張については原報告書を参照してください。

なぜジャーナリストや活動家が標的にされるのか

民間軍事スパイウェアは監視ツールとして販売されており、ジャーナリストは他者が欲しがるものを保持しているため、繰り返し標的にされます。それは情報源、未公開の資料、私的な通信です。侵害された電話は、連絡先、メッセージ、位置情報、マイクへのアクセスを露出させる可能性があります。機密性の高い取材に携わる記者にとって、一度の感染は記者だけでなく情報源をも危険にさらす可能性があります。

AdFectionの事例は、脅威が厳密にジャーナリストに限定されない理由も示しています。配布方法は誰もが使用するインフラに依存しています。特定の人物が標的として選ばれたとしても、同じ広告システムが一般大衆に提供されています。ほとんどの読者がこの種のツールにとって優先的な標的である可能性は低いですが、この事例はその仕組みが存在することを示しています。

これがあなたにとって何を意味するか

ほとんどの人にとって、民間軍事スパイウェアによって狙い撃ちにされる実際のリスクは低いです。それでも、この調査結果は、何もクリックしなければ安全というわけではなく、日常的なウェブ広告が攻撃対象領域になり得ることを思い出させてくれます。あなたがジャーナリスト、活動家、弁護士、または機密情報を扱う人であれば、これをより真剣に受け止めてください。

VPNについても正直である価値があります。VPNはデバイスとVPNサーバー間の通信を暗号化し、訪問するサイトからあなたのIPアドレスを隠します。しかし、悪意のある広告がブラウザに読み込まれるのを防ぐことはできず、電話の脆弱性を修正するものでもありません。VPNだけではこの種の攻撃から保護できません。他のプライバシー目標には依然として有用ですが、ここでの防御にはなりません。

読者ができること

単一のステップでリスクがなくなるわけではありませんが、層状の対策でかなり軽減できます:

  • オペレーティングシステムとブラウザを速やかに更新してください。 このようなスパイウェアは通常ソフトウェアの欠陥に依存しており、更新がそれらを塞ぎます。
  • リスクが高い場合はロックダウンモードをオンにしてください。 Appleのロックダウンモードは、標的にされる可能性のある人の攻撃対象領域を縮小するように設計されています。Androidユーザーは同等の高度な保護設定を探すことができます。
  • 広告ブロッカーを使用してください。 配布チャネルが広告であれば、ブラウザまたはDNSレベルで広告をブロックすることで露出の多くを排除できます。
  • デバイスを定期的に再起動してください。 一部の感染は再起動を生き延びられず、攻撃者にやり直しを強いることができます。
  • ブラウザで実行されるものを減らしてください。 拡張機能を減らし、アプリを最小限にすることで、攻撃者が悪用できる箇所の数が減ります。
  • 感染が疑われる場合は専門家の助けを求めてください。 リスクの高いグループを支援する組織がフォレンジック検査を支援できます。

主な要点

AdFectionの事例は、2024年にジャーナリストが直面したゼロクリック広告スパイウェアが、他の全員にサービスを提供するのと同じ広告システムを通じて配布されたことを示しています。攻撃者は依然として特定されていませんが、イスラエルの2社がそれを容易にしたとして結びつけられています。デバイスを最新の状態に保ち、リスクが高い場合はロックダウンモードを検討し、可能な限り広告をブロックしてください。完全な詳細については、ゼロクリック広告とジャーナリストに関するCitizen Labの報告書のまとめをお読みになり、Citizen Labとアルジャジーラの一次調査結果をフォローしてください。そして、VPNは有用ではあるものの、この種の攻撃に対する盾ではないことを覚えておいてください。