よく知られたセキュリティ上の助言が、不完全なものに見え始めている。不審なリンクをクリックするな、というものだ。新たな報道によれば、スパイウェアがジャーナリストの端末に、彼らが決してクリックしなかった広告を通じて感染させているという。同じニュースまとめはまた、Palo Altoファイアウォールで悪用されたゼロデイ、Drupalの重大な脆弱性、そして役員室への盗聴器設置の疑いで起訴されたOpenAIのエンジニアについても報じている。最初の項目は、機密性の高い情報源を扱う人にとって最も重要だ。なぜなら、ジャーナリストが閲覧中に出会う悪意ある広告を通じて配信されるゼロクリック・スパイウェアは、個人の防御のあり方を変えるからだ。 ## ゼロクリック広告スパイウェアはどうやってジャーナリストに到達するのか 鍵となる言葉は「ゼロクリック」だ。従来のフィッシングは、人がファイルを開くかリンクをタップする必要がある。ゼロクリック攻撃は、標的からの操作を一切必要としない。ここでは、配信経路はオンライン広告である。標的にされた人物に広告が表示され、その広告だけで侵害が始まるのだ。 トロント大学のデジタル権利研究部門であるThe Citizen Labの研究に関する報道によれば、標的型広告を通じて配布される高度な傭兵スパイウェアを示す技術的証拠が公に公開されたのは今回が初めてである。一部の報道では、イスラエルの広告代理店が、広告を見た人々をスパイウェア攻撃に対して無防備にする広告を掲載したとも述べられている。技術的な仕組みについての詳細は要約レベルのものしかないため、完全な研究が読まれるまでは詳細には慎重に扱うべきだ。 しかし、より広いパターンは明らかだ。広告ネットワークは、特定のオーディエンスを選び出し、その関与なしにコンテンツを届けるように作られている。その同じ精密さは、ジャーナリストのような特定の人物に、その人物が何も悪いことをしていなくても到達したい監視ベンダーにとって魅力的である。以前の事例では、あるメディア組織の数十台の端末が関係していた。[Citizen Labによる、悪意ある広告を介してハッキングされたAl Jazeeraの端末に関する調査結果](/en/citizen-lab-al-jazeera-devices-hacked-via-malicious-ads)に関する我々の報道は、同じカテゴリーの攻撃がそこでどのように記録されたかを扱っている。 ## VPNだけではこの攻撃を止められない理由 これはプライバシーサイトなので、VPNの疑問には直接答える価値がある。VPNは端末とVPNサーバー間の通信を暗号化し、訪問するサイトからあなたのIPアドレスを隠す。これらは実際の利点だが、別の問題に対処するものだ。 悪意ある広告は通常のウェブ経由で配信され、接続がトンネル化されていようとなかろうと、そのコンテンツは依然としてブラウザやアプリに到達する。基盤となる端末に、広告コンテンツが悪用できる未修正の弱点があれば、VPNはそれを変えない。一部のVPN製品にはDNSレベルでの広告やトラッカーのブロックが含まれており、露出を減らせるが、それは別の機能であり保証ではない。VPNは一つの層にすぎず、読み込むコンテンツを通じて配信されるスパイウェアに対する保護と誤解されるべきではない。 ## 露出を減らす保護策：アップデート、広告ブロッカー、ロックダウンモード 単一の手順で資金豊富な攻撃者に対して免疫になれるわけではないが、いくつかの対策はその隙間を狭める。 - **アップデートを速やかにインストールする。** この種のスパイウェアはソフトウェアの欠陥に依存している。オペレーティングシステムとブラウザのアップデートはそれらの欠陥を塞ぐので、遅らせればそれだけ扉を開けたままにすることになる。 - **広告ブロッカーを使う。** 感染経路が広告なら、広告を読み込まないことが配信経路を取り除く。ブラウザベースのブロッカーとネットワークレベルのフィルタリングのどちらも選択肢だ。 - **強化モードをオンにする。** 主要なモバイルプラットフォームは、標的型攻撃のリスクが高い人向けの高セキュリティ設定を提供している。利便性の一部を攻撃対象領域の縮小と引き換えにするが、ジャーナリスト、活動家、同様のユーザーにとっては妥当な取引だ。 - **バックグラウンドで動くものを減らす。** 使っていないアプリを削除し、広告の多いアプリを制限し、ブラウザとアプリをオペレーティングシステムとともに最新の状態に保つ。 - **再起動と監視。** 定期的な再起動や、異常なバッテリー消費、発熱、クラッシュへの注意は何かの証拠ではないが、安上がりな習慣だ。ITやセキュリティ担当スタッフがいる報道機関は、機密性の高い分野を担当するスタッフの端末を点検するよう依頼すべきだ。 組織にも役割がある。メディアは、各記者に自分で解決させるのではなく、アップデートの義務化、高リスク記者への強化モードの必須化、業務端末での承認済み広告ブロックを求める基本方針を設定できる。 ## Palo Altoのゼロデイ：エッジデバイスへのパッチ適用の注意喚起 同じまとめは、Palo Altoファイアウォールのゼロデイが悪用されていることにも言及していた。要約以上の詳細はないため、影響を受けるバージョンと修正についてはベンダー自身のアドバイザリを確認してほしい。教訓はスパイウェアの話と重なる。攻撃者は、人々が自分を守ってくれると思い込んでいるソフトウェアを狙う。ファイアウォールやその他のエッジデバイスはネットワークとインターネットの間に位置するため、価値の高い標的となり、悪用されたゼロデイとは、修正が利用可能になる前またはその時点で攻撃が行われていることを意味する。 そのような機器を管理しているなら、ベンダーのガイダンスを緊急のものとして扱い、可能な限り管理インターフェースを公開からの露出を制限し、異常な活動がないかログを確認してほしい。まとめはまた、Drupalの重大な脆弱性にも言及しており、このプラットフォームを運営するサイト所有者は公式のセキュリティ通知と照合すべきだ。 ## あなたにとって何を意味するか あなたがジャーナリスト、研究者、活動家、あるいは政府や監視請負業者の関心を引く可能性のある人物なら、「怪しいリンクはクリックしない」だけではもはや十分ではない。リスクは普通のブラウジングを通じてやって来る可能性がある。他のほとんどの読者にとって実際のリスクはより低いが、高リスクのユーザーに役立つ対策は誰にとっても有益だ。アップデート、広告ブロック、そしてどのアプリを保持するかについての賢明な姿勢である。 OpenAIの盗聴の訴追は別の話だが、一つのテーマに当てはまる。監視の脅威はリモートのソフトウェアから物理的な機器まで幅広く、機密性の高い会話はどちらの世界でも注意に値する。 ## 主な要点 - ジャーナリストが目にする可能性のある悪意ある広告によるゼロクリック・スパイウェアは、クリックなしで端末を侵害する可能性があるため、リンクへの注意だけでは防御にならない。 - VPNは接続を保護するが、悪用コンテンツから端末を保護するものではないため、この脅威に対して頼るべきではない。 - オペレーティングシステムとブラウザのアップデートは利用可能になり次第適用する。 - スマートフォンでロックダウンモードや強化モードを有効にし、広告ブロックを使用する。 - Palo Altoファイアウォールなどのエッジデバイスに速やかにパッチを適用し、ベンダーのアドバイザリに従う。 悪意ある広告による侵害の記録された事例については、[Citizen LabのAl Jazeera調査](/en/citizen-lab-al-jazeera-devices-hacked-via-malicious-ads)に関する我々の報道を読み、今日10分を使って端末をアップデートし、それらが提供する最も強力な保護をオンにしてほしい。