トロント大学のデジタル権利研究部門であるCitizen Labは、メディア組織アルジャジーラの数十台のデバイスが、悪意あるオンライン広告を表示された後にハッキングされた証拠を発見したと述べている...

トロント大学のデジタル権利研究部門であるCitizen Labは、メディア組織アルジャジーラの数十台のデバイスが、悪意あるオンライン広告を表示された後にハッキングされた証拠を発見したと述べている。TechCrunchが2026年10月15日に報じたこの発見は、憂慮すべき展開を示している。ゼロクリックスパイウェアを仕込んだ悪意ある広告が、対象者の携帯電話やコンピューターへの配信経路として利用できるようになったのだ。しかも、本人が何もタップする必要はない。

公開されている要約は短いため、この記事は報道された内容に限定し、セキュリティ研究者が一般に説明する仕組みと防御策を解説する。

Citizen Labがアルジャジーラで発見したこと

報道によれば、Citizen Labは、アルジャジーラの数十台のデバイスが、利用者に悪意あるオンライン広告が表示された後に侵害された証拠を発見した。主要な主張は、政府がオンライン広告を悪用してゼロクリックスパイウェアを配信しているというものだ。ゼロクリックスパイウェアとは、被害者がファイルを開いたりリンクをクリックしたりすることなくデバイスに感染するスパイウェアを指す。

情報源の要約では、スパイウェアのベンダー、関与した特定の広告ネットワーク、使用された正確な脆弱性は明かされておらず、本記事でも推測はしない。確かなのは標的だ。主要メディア組織であり、スタッフは日常的に機密性の高い情報源や情報を扱っている。「とされている」という言葉もここでは重要だ。これらは研究グループによる調査結果であり、さらなる公表に伴って詳細が明らかになる可能性がある。

悪意ある広告がクリックなしで携帯電話をハッキングする仕組み

従来の攻撃では、あなたが何かをする必要がある。添付ファイルを開く、リンクをタップする、アプリをインストールする、といったことだ。ゼロクリック攻撃はそのステップを不要にする。画像、動画、ウェブページを自動的に処理するブラウザやアプリなど、ソフトウェアの欠陥を利用する。その欠陥を悪用するように細工されたコンテンツであれば、通常の動作中に悪意あるコードが実行され得る。

オンライン広告は、このモデルに不都合なほどよく当てはまる。広告はページやアプリを開くと自動的に読み込まれ、しばしば発行者が直接管理していない第三者サーバーから配信される。選んだ人物の前に悪意ある広告を配置できる攻撃者であれば、原理上、それを表示するソフトウェアの脆弱性を引き起こせる。特定のオーディエンスを選び出すために存在する広告ターゲティングツールは、意図した被害者への配信を絞り込むのに役立ち得る。

重要な点は、本人は何も悪いことをしていないということだ。Citizen Labが報告した調査結果によれば、その広告を表示されただけで十分だった。

なぜジャーナリストも一般利用者もさらされるのか

ジャーナリストは明らかな標的だ。報道機関は機密の連絡先、未公表の資料、政府が欲しがり得る位置情報を抱えている。広告を通じて機能する攻撃は、スタッフがしばしば見抜く訓練を受けている説得力のあるフィッシングメッセージを不要にする。

しかし、この配信経路は報道機関に限らない。広告は、ウェブを閲覧したり無料アプリを使ったりするほぼすべての人に届く。高度に標的化されたスパイウェアは通常高価で、特定の個人を狙うため、ほとんどの人は意図された被害者になる可能性は低い。それでも、同じ広告インフラがすべての人に使われており、デバイスがウェブコンテンツを処理する方法の弱点は、修正されるまで全利用者に影響する。活動家、弁護士、研究者など、政府の関心を引く可能性のある人々は、記者だけでなく、リスクの高いグループの一部と考えるべきだ。

実際にリスクを減らすもの（そしてVPNにできないこと）

率直に言う価値がある。VPNだけではこの種の攻撃から身を守れない。VPNはデバイスとVPNサーバー間の通信を暗号化し、訪問先サイトからあなたのIPアドレスを隠す。しかし、デバイスが悪意ある広告を描画するのを止められず、ソフトウェアの脆弱性も修正しない。デバイスが読み込むコンテンツ内でエクスプロイトが配信されるなら、トンネルはそれをそのまま運ぶだけだ。

実際の攻撃経路に対処する対策には、次のものがある。

• OSとブラウザを速やかに更新する。 ゼロクリック攻撃は未修正または未知の欠陥に依存する。セキュリティ更新を素早く適用すれば、既知の穴を塞げる。
• コンテンツブロッカーや広告ブロッカーを使う。 広告が読み込まれなければ、エクスプロイトを配信できない。ブラウザまたはネットワークレベルでのブロッカーは、第三者広告サーバーへの露出を減らす。
• 利用可能ならロックダウンモードを有効にする。 Appleのロックダウンモードはリスクが高い人向けに設計されており、特定のウェブ機能やメッセージ機能を制限することで攻撃対象領域を減らす。
• デバイスを定期的に再起動し、インストール済みアプリを減らす。 アプリが少なければ、広告配信コンポーネントも少なくなり、欠陥が潜む場所も減る。

これがあなたにとって意味すること

ほとんどの読者にとって、政府級のスパイウェアで個人的に標的にされる現実的なリスクは低いが、教訓は広く当てはまる。プライバシーツールは特定の問題に効くものであり、単一のツールですべてをカバーできるわけではない。VPNはネットワークのプライバシーには役立つ。しかしエクスプロイトへの防御ではない。機密性の高い情報源を扱う場合や、自分が標的になり得ると考える理由がある場合は、デバイスの堅牢化と広告ブロックを必須と考え、スマートフォンが提供するより厳格なモードも検討してほしい。

Citizen Labの活動は、より広い政策議論にもつながっている。同グループの研究や監視・暗号化をめぐる論争についてさらに知りたい場合は、Citizen LabがカナダのBill C-22における暗号化リスクを指摘に関する私たちの報道をお読みいただきたい。

主な要点

アルジャジーラの調査結果は、ゼロクリックスパイウェアを仕込んだ悪意ある広告が、理論上だけでなく実際の配信手法であることを示している。どの広告が配信されるかは制御できないが、自分のデバイスがどれだけ露出しているかは制御できる。OSとブラウザの更新が届いたらすぐに適用し、広告またはコンテンツブロッカーを使い、より高いリスクにあるならロックダウンモードを有効にしよう。必要に応じてVPNを使い続けてよいが、デバイスが読み込むコンテンツを通じて届く攻撃を止めるために依存してはならない。Citizen Labの活動と監視をめぐる議論のより広い文脈については、Bill C-22と暗号化リスクに関する記事を参照してほしい。

FAQ Q1: Citizen Labはアルジャジーラで何を発見しましたか？ A1: Citizen Labは、アルジャジーラの数十台のデバイスが、利用者に悪意あるオンライン広告が表示された後に侵害された証拠を発見しました。主要な主張は、政府がオンライン広告を悪用してゼロクリックスパイウェアを配信しているというものです。 Q2: ゼロクリックスパイウェアとは何ですか？ A2: ゼロクリックスパイウェアとは、被害者がファイルを開いたりリンクをクリックしたりすることなくデバイスに感染するスパイウェアです。画像、動画、ウェブページを自動的に処理するブラウザやアプリなど、ソフトウェアの欠陥を利用します。 Q3: 悪意ある広告がクリックなしで携帯電話をハッキングするにはどうしますか？ A3: 広告はページやアプリを開くと自動的に読み込まれ、しばしば発行者が直接管理していない第三者サーバーから配信されるため、選んだ人物の前に悪意ある広告を配置できる攻撃者であれば、原理上、それを表示するソフトウェアの脆弱性を引き起こせます。 Q4: 報道では、スパイウェアのベンダーや関与した広告ネットワークは明かされていますか？ A4: いいえ、情報源の要約では、スパイウェアのベンダー、関与した特定の広告ネットワーク、使用された正確な脆弱性は明かされていません。 Q5: 一般利用者もこの種の攻撃のリスクがありますか？ A5: 広告はウェブを閲覧したり無料アプリを使ったりするほぼすべての人に届くため、配信経路は報道機関に限られません。ただし、高度に標的化されたスパイウェアは通常高価で特定の個人を狙うため、ほとんどの人は意図された被害者になる可能性は低いです。 ---END---