The Globe and Mailが報じたCitizen Labの新しい報告書は、広告経済のこれまでで最も不穏な使われ方の一つかもしれない事例を描いている。ジャーナリストが一度も操作する必要のなかったゼロクリック広告スパイウェアである。報告書によれば、イスラエルの企業が「標的型広告を通じて配信される攻撃」を仕掛け、ジャーナリストのデバイスをスパイウェアに感染させた。つまり、靴やストリーミングサービスを表示するために作られた同じ仕組みが、特定の人物の携帯電話に到達するために転用され得るというのである。

私たちが入手した要約は短いため、この記事は報じられた内容に留まり、その周辺のより広い概念を説明する。詳細が入手できない箇所については、その旨を明記する。

Citizen Labが広告経由の攻撃で発見したこと

市民社会に対するデジタル脅威の調査で知られる研究グループ、Citizen Labは、イスラエルの企業が標的型広告を通じて配信される攻撃を実行したと結論づけた。標的はジャーナリストであり、その結果として彼らのデバイスにスパイウェアが仕込まれた。報告書はこの手法をゼロクリックと特徴づけている。つまり、被害者は何かをタップしたり、ダウンロードしたり、承認したりする必要がなかったのである。

私たちが利用できる報道は、どのデバイスか、どの広告ネットワークか、何人が影響を受けたかといった技術的な詳細のすべてを明らかにしていないため、それらについて推測はしない。重要なポイントは配信チャネルである。悪意あるメールや怪しいテキストメッセージではなく、広告なのである。

ゼロクリック広告スパイウェアがジャーナリストのデバイスに到達する仕組み

ゼロクリック攻撃は、被害者が何もしなくても機能する。誰かに悪質なリンクを開くよう説得する代わりに、攻撃者はソフトウェアが自動的にコンテンツを処理する性質に依存する。ページやアプリが広告を読み込むと、デバイスは自らそのコンテンツを取得してレンダリングする。攻撃者がその流れに悪意あるコンテンツを挿入でき、デバイスに未修正の脆弱性があれば、コンテンツの読み込みとともに感染が起こり得る。

これは広告経由の攻撃がどのように機能し得るかについての一般的な説明であり、Citizen Labの報告書における具体的なエクスプロイトを描写したものではない。読者にとって重要なのは原理である。あなたのデバイスが自動的に読み込むものは何でも潜在的な侵入経路となり得るのであり、それにはあなたが進んで見たわけではないコンテンツも含まれる。

ゼロクリック手法はスパイウェアの世界で新しいものではない。私たちのWeChatゼロクリックワームに関する報道では、一度の不在着信が広く使われているメッセージングアプリを侵害するのに十分であり得ることを説明した。広告ベースの経路は別のひねりを加える。攻撃者はあなたの電話番号やアカウントを必要とせず、あなたの目の前にコンテンツを届ける手段さえあればよいのである。

なぜ標的型広告がジャーナリストを容易に到達可能にするのか

標的型広告は、買い手が誰にメッセージを見せるかを選べるようにするために存在する。オーディエンスは興味関心、位置情報、デバイスの種類、その他のシグナルによって絞り込むことができる。この精度は正規のマーケターにとっては利点である。監視ベンダーにとっては、広く配信することなく特定の人物や小規模なグループに攻撃を向ける手段であり、検知される可能性も下げることになる。

ジャーナリストはこの種の狙い撃ちに明らかに適合する。彼らの仕事、興味関心、位置情報はしばしば公開されており、そのデバイスには情報源や未公開の資料が保存されている可能性がある。Citizen Labの発見は、日常的な広告の背後にある追跡インフラがスパイウェアの配信システムを兼ね得ることを示唆している。

これがあなたにとって意味すること

ほとんどの読者は、このようなスパイウェア作戦の意図された標的ではない。この種の標的型攻撃は通常高価であり、特定の人物に向けられる。しかしこの発見は、二つの理由から依然としてすべての人にとって重要である。

第一に、広告コンテンツは単なる迷惑やプライバシーの問題ではないことを示している。それはあなたのデバイスの攻撃対象領域の一部なのである。第二に、高度な攻撃に対して有効な防御は、日常的な脅威からもあなたを守る。迅速なアップデート、自動コンテンツ読み込みの削減、そしてデバイスが何を受け入れるかに対するより厳格な制御である。

もしあなたがジャーナリズム、人権、政治、あるいは資金力のある敵対者を惹きつける可能性のある分野で働いているなら、あなたのリスクはより高いものとして扱い、それに応じて行動すべきである。

露出を減らすための実践的な手順

単一の手順でゼロクリック攻撃に免疫ができるわけではないが、以下の対策はその機会を縮小する。

  • オペレーティングシステムとアプリを直ちに更新する。 ゼロクリック攻撃は通常、未修正の欠陥に依存する。野外で悪用されたChromeゼロデイに対するGoogleの緊急修正は、数日待つことが問題になり得る理由の好例である。
  • ブラウザを最新の状態に保つ。 ブラウザは常に広告コンテンツを処理するため、自動更新を有効にし、促されたら再起動する。
  • 可能な限り広告とトラッカーをブロックする。 信頼できるコンテンツブロッカーやブラウザレベルの保護は、デバイスが読み込むサードパーティ広告コンテンツの量を減らす。これはリスクを減らすものであり、保証ではない。
  • より高いリスクにある場合はロックダウンモードを有効にする。 対応するAppleデバイスでは、ロックダウンモードが攻撃者に一般的に悪用される機能を制限する。多少の利便性と引き換えに、攻撃対象領域を狭める。
  • 広告のパーソナライゼーションを制限する。 デバイス設定で広告追跡識別子をオフにし、パーソナライズ広告をオプトアウトする。これによりあなたを特定しにくくなるが、すべての標的化手法を止められるわけではない。
  • 定期的に再起動し、使っていないアプリを削除する。 アプリが少なく定期的に再起動することで、持続的な脅威の余地が減る。

結論

ジャーナリストが直面したゼロクリック広告スパイウェアに関する報告書は、広告技術と監視技術の境界線が薄くなり得ることを思い起こさせる。あなたは広告ネットワークの行動を制御することはできないが、デバイスがどれだけ迅速に修正されるか、そしてどれだけの信頼できないコンテンツを読み込むかは制御できる。

今日の行動リストは短い。今すぐ携帯電話とブラウザに保留中のアップデートをインストールし、自動更新をオンにし、より高いリスクにある場合はロックダウンモードを有効にする。その数分の努力が、このような攻撃が依存する隙間を塞ぐのである。