The New Arabに掲載された意見記事は、アルジャジーラが監視のためにデジタル広告を武器化するイスラエルのスパイウェアの最新の標的であり、この攻撃は氷山の一角にすぎないと論じている。著者のシルバースタインは、この事例をニュースルームだけでなく誰にとっても警告であると位置づけている。入手した原文は短いため、本記事は記載されている内容に限定し、実務的な側面の説明には以前の報道を用いる。広告経由のスパイウェアに対する確固たる防御を求めるなら、アルジャジーラの事例は有用な出発点となる。

悪意ある広告がスパイウェアを配信する仕組み

私たちの多くは一つのルールを教えられてきた。不審なリンクをクリックするな、ということだ。広告経由の攻撃はこのルールを覆す。広告そのものが配信経路になるからだ。ジャーナリストを標的にしたゼロクリックスパイウェア広告に関するわれわれの報道では、人々が一度もクリックしなかった広告を通じてスパイウェアがデバイスに感染する様子を説明している。

平たく言えば、ウェブページやアプリは第三者のネットワークから広告を読み込む。攻撃者がそのサプライチェーンに悪意ある広告を紛れ込ませ、その広告が悪用できる脆弱性がデバイスにあれば、コンテンツを読み込むだけでデバイスが侵害され得る。ユーザーはタップもダウンロードも承認もする必要がない。これが「ゼロクリック」の意味である。

同じ報道は、2024年にジャーナリストが直面したゼロクリック広告スパイウェアAdFectionに関する記事でより詳しく扱っており、アルジャジーラとCitizen Labの双方がこの活動を記録していると述べている。

アルジャジーラ攻撃が示すもの

以前の報道によれば、アルジャジーラは、イスラエルの企業Candiruに関連する秘密のマルウェアキャンペーンが同社のジャーナリストやスタッフが所有する45台のデバイスに感染し、ユーザーの操作なしにそこからデータを抜き取ったと述べている。詳細は45台のスタッフ端末を襲ったCandiru関連スパイウェアに関するわれわれの報道で読むことができる。

この意見記事はより広い結論を導いている。デジタル広告が大手報道機関に対する監視チャネルに転換され得るのであれば、同じ手法はその標的に限定されない、というものだ。ここは慎重であるべきだ。これは意見としての主張であり、文書化された事例以外でこの手法がどれほど広く使われてきたかを原文から確認することはできない。しかし根底にある论点は技術的に妥当である。広告ネットワークは膨大な数の一般デバイスに到達しており、その連鎖のわずかな弱点は多くの人々が共有するリスクとなる。

この事例は商用スパイウェア利用のより広いパターンにも当てはまる。ICEが暗号化通信に対するParagon Graphiteスパイウェアの使用を認めたというわれわれの報道は、こうしたツールが政府機関に販売され使用されていることを示しており、それが需要と開発を活発に保っている。

一般ユーザーがリスクを減らすためにできること

ほとんどの人は国家レベルのキャンペーンの標的になる可能性は低い。それでも、いくつかの習慣が曝露を有意に減らす。

  • デバイスを最新の状態に保つ。 広告ベースのエクスプロイトは通常、ブラウザやOSの未修正の脆弱性に依存する。更新は速やかにインストールし、自動更新を有効にしよう。
  • 信頼できる広告ブロッカーを使う。 悪意あるコンテンツが読み込まれなければ、実行もされない。広告をブロックすれば、ブラウザが通信する第三者ソースの数が減る。
  • ロックダウン機能を有効にする。 例えばAppleのロックダウンモードは、標的型の脅威に直面する可能性のある人の攻撃対象領域を縮小するよう設計されている。Androidや一部のブラウザもより厳格なセキュリティ設定を提供している。一部の機能がスムーズに動作しなくなることは覚悟しておこう。
  • 定期的に再起動する。 一部の感染は再起動を生き延びないため、定期的な再起動でそれらを妨害できる。
  • バックグラウンドで動くものを制限する。 使っていないアプリは削除しよう。各アプリは独自の広告やコンテンツを読み込む可能性がある。

ジャーナリスト、活動家、あるいは機密性の高い情報源と仕事をしているなら、これらのステップを最低限の基準として扱い、デジタルセキュリティ団体に助けを求めよう。

VPNが役立つ場面と役立たない場面

VPNはデバイスとVPNサーバー間の通信を暗号化し、訪問するサイトからあなたのIPアドレスを隠す。公共Wi-Fi上や、ネットワークプロバイダーによる一部の追跡を制限するのに有用である。

VPNがしないことは、デバイスが正当に要求したコンテンツ内で届くエクスプロイトを止めることだ。悪意ある広告がブラウザで読み込まれれば、VPNは他のデータと同様にそれをあなたまで運ぶ。標準的なVPNはソフトウェアの脆弱性を修正したり、すでにスマートフォン上にあるスパイウェアを除去したりしない。

一部のVPNサービスは、既知の広告・トラッカードメインをDNSレベルでブロックするオプション機能を追加しており、曝露を減らせる。それはフィルタリング機能でありVPNの中核機能ではなく、すべてを捕捉するわけではない。VPNはプライバシーの一層であり、ゼロクリック攻撃に対する防御ではないと考えよう。

あなたにとって何を意味するか

不審なリンクを避けるという昔ながらの助言は依然として重要だが、それだけではもはや十分ではない。あなたの保護は今、ソフトウェアがどれだけ最新か、そしてデバイスがどれだけ信頼できないコンテンツを読み込むかに大きく依存している。パニックになる必要はない。広告経由のスパイウェア対策を、ニュースルーム専用のものではなく、デバイス管理の日常的な一部として扱う必要があるのだ。

要点

  • 機密性の高い作業を扱うなら、ロックダウンモードまたは同等の厳格な設定を有効にする。
  • OS、ブラウザ、アプリを最新の状態に保つ。
  • 信頼できる広告ブロッカーを導入し、ブラウザ拡張機能を見直す。
  • ネットワークプライバシーにはVPNを使うが、広告ベースのエクスプロイトを止めるために頼ってはいけない。
  • このキャンペーンに関するより詳細な報道は、Candiru関連のアルジャジーラ感染とゼロクリック広告スパイウェアに関する記事を読まれたい。

広告経由のスパイウェアに対する強固な防御は、いくつかの一貫した習慣に帰結する。更新し、ブロックし、デバイスを強化することだ。