国家CERTは、ユーザーが何もクリックしなくても、オンライン広告を通じてスマートフォンがスパイウェアに感染する可能性があると警告を発した。この手法はAdFectionと呼ばれ、ゼロクリック広告スパイウェアAdFectionモデルが重要なのは、ほとんどの人が頼っている唯一の防御策、つまり疑わしいものをタップしないという対策を無効にするからだ。この記事では、現時点で判明していること、この種の攻撃の仕組み、そしてVPNがどこで役立つかを説明する。

国家CERTが警告している内容

警告に関する報道によると、国家CERTは、広告を読み込むだけでスマートフォンが侵害される可能性があると述べている。タップも、ダウンロードのプロンプトも、偽のログインページも不要だ。この手法はAdFectionという名称で呼ばれている。

この警告は、2026年10月中旬に報じられた研究に続くものである。検索報道では、この発見はCitizen Labによるものとされており、同研究所の研究者たちはAdFectionをサイバー諜報手法と表現した。これらの要約によれば、この研究はDiscover-Techという広告会社を、CandiruとBindecyを名指しで含む傭兵スパイウェアベンダーと関連付け、Al Jazeeraのデバイスが標的の一つであったとしている。当社はこれらの詳細を独自に検証していないため、確立された事実ではなく、その研究で報告された知見として扱ってほしい。

一般の読者にとっての要点は、その配信方法にある。この攻撃は、アプリやウェブサイトでバナーや動画広告を配信するのと同じ広告パイプラインを通じて到達する。

ゼロクリック広告攻撃の仕組み

元記事は仕組みについて簡潔にしか触れていないが、研究の要約は有用な概要を示している。それらによると、攻撃者はリアルタイム入札エコシステム、つまりページやアプリが読み込まれる直前の一瞬のうちに、どの広告が画面に表示されるかを決定する自動オークションを悪用しているという。

簡略化して言えば、報告されている流れは次のとおりである。

  • ターゲティング: 攻撃者は、到達したい特定の個人やデバイスを選び出す。
  • フィンガープリント: 広告が通常収集する種類の情報に基づいて、そのデバイスを認識するために広告システムが利用される。
  • 配信: 標的のデバイスが広告を読み込むと、通常のコンテンツの代わりに、あるいはそれと並行して、悪意のあるペイロードが配信される。
  • 感染: デバイスに悪用可能な脆弱性があれば、スパイウェアが一切の操作なしにインストールされる可能性がある。

これが、この攻撃がゼロクリックと表現される理由である。被害者は何も異常なことをしない。ただブラウジングしたり、広告を表示するアプリを使ったりしているだけだ。研究の要約は、この手法が特定の個人を狙ったものであることを強調しており、これは大量マルウェアではなく商業スパイウェアのパターンに合致する。それでも、国家CERTからの公的な警告は、この手法がジャーナリストや活動家だけでなく、広く真剣に受け止める価値があることを示している。

VPNが役立つ場面とそうでない場面

この件は、VPNが実際に何をするのかを思い出させる良い例である。VPNはデバイスとVPNサーバー間の通信を暗号化し、訪問先のサイトからあなたのIPアドレスを隠す。これは公共Wi-Fi上で、また一部の種類のトラッキングを制限する上で、確かに有用である。

VPNがしないのは、その暗号化トンネルを通じて届くコンテンツを検査したりブロックしたりすることである。悪意のある広告ペイロードがスマートフォンに配信されれば、VPNは他のデータと同様にそれを運ぶ。ペイロードが標的とする脆弱性を取り除くことも、広告ネットワークが広告を配信するのを止めることもない。IPを隠すことも、研究の要約が説明するデバイスのフィンガープリンティングに対してはほとんど効果がない。なぜならそれは他のシグナルに依存しているからだ。

注意深く述べておくべき小さな例外がある。一部のVPNアプリは、任意の広告ブロックやトラッカーブロックを同梱している。それは暗号化トンネルそのものとは別の機能であり、その有効性はさまざまである。それに頼る場合は、オンになっていることを確認し、過信しないようにしてほしい。

より広い教訓は、異なる層における信頼についてである。暗号化は転送中のデータを保護するが、配信されるコンテンツが安全かどうかについては何も語らない。当社は、TLS証明書の失効とGlobalSignの余波に関する記事で、関連する信頼の問題を取り上げた。これは、あなたとウェブサイトの間にどれほど多くの別個の仕組みが存在するかを示している。

iPhone、iPad、Windowsユーザーが今すぐ行うべきこと

当社が入手した国家CERTの要約には、特定の脆弱性や影響を受けるソフトウェアのバージョンが列挙されていないため、推測はしない。以下の手順は一般的で低コストであり、この種の脅威に照らして理にかなっている。

iPhoneおよびiPad

  • 最新のiOSまたはiPadOSアップデートをインストールする。ゼロクリック攻撃は未修正の脆弱性に依存するため、アップデートが最も直接的な保護である。
  • ジャーナリスト、活動家、機密性の高い業務を扱う人など、リスクが高い立場にある場合は、ロックダウンモードを有効にすることを検討する。機能を減らす代わりに攻撃対象領域を縮小する。
  • プライバシー設定で広告のパーソナライズを制限し、広告が利用できるデータを減らす。

Windows

  • Windows Updateを実行し、ブラウザを更新する。広告が読み込まれるのはブラウザだからである。
  • 信頼できるコンテンツブロッカー、または広告やトラッカーをブロックするブラウザ設定を使用する。
  • 内蔵のセキュリティツールを有効にしておく。

Androidおよびその他のデバイス

  • 同じ論理が当てはまる。システムとブラウザのアップデートを速やかにインストールし、広告またはコンテンツのブロックを使用する。

これがあなたにとって意味すること

ほとんどの人は、傭兵スパイウェアの意図された標的になる可能性は低い。しかし、その配信経路であるオンライン広告は誰もが共有するものであり、防御策はリスクレベルに関係なく採用できるほど簡単である。実用的な結論は、ここでの最も強力な保護は地味なものだということである。つまり、修正済みのソフトウェアと、デバイスに届く広告を減らすことだ。

VPNは、それが設計された目的においては依然として価値のあるプライバシーツールである。ただ、悪意のある広告に対する保護として扱うべきではない。

実行可能な要点

  • 今日、スマートフォン、タブレット、コンピューター、ブラウザを更新し、自動更新を有効にする。
  • ブラウザまたはシステム設定で広告またはコンテンツのブロックをオンにする。
  • 広告のパーソナライズを減らし、フィンガープリンティング用のデータを制限する。
  • より高いリスクにさらされている場合は、Appleデバイスでロックダウンモードを検討する。
  • VPNはプライバシーの一層として扱い、ゼロクリック広告スパイウェアAdFectionや同様の攻撃に対する防御とは考えない。

国家CERTの警告は、基本を確認するきっかけである。アップデートと広告ブロックに費やす10分間は、この脅威に対しては、どれだけの通信暗号化よりも効果がある。