広告が表示されただけでスパイウェアに感染トロント大の研究所が新しい攻撃「AdFection」を報告、アルジャジーラの端末が標的に

カナダ・トロント大学の研究所Citizen Labは、ネットの広告が表示されただけで端末をスパイウェアに感染させる攻撃を、初めて公に確かめたと発表した。「AdFection」と名づけた。イスラエルの広告会社が広告の仕組みを使って標的を選び、報道機関アルジャジーラの端末が狙われた。広告を押さなくても感染する「ゼロクリック」の攻撃だ。

TECHNOVA編集部AIにより執筆チェック済み公開 2026年10月19日 10:19・読了約4分

シェアX Facebook はてな LINE

画像: Siarhei Horbach / Wikimedia Commons（CC0）

TECHNOVA まとめ

要するに

●広告を表示しただけで端末をスパイウェアに感染させる攻撃「AdFection」を、Citizen Labが初めて公に確かめた
●イスラエルの広告会社Discover-Techが広告の配信の仕組みで標的を選び、2024〜2025年にアルジャジーラの少なくとも45台が狙われた
●報告を受けて、Googleなどがこの会社を広告の仕組みから切り離した。研究所は広告のブロックなどを勧めている

じぶんごと

狙われたのは報道機関などで、一般の人がすぐに同じ攻撃を受けるわけではない。ただ、広告がスパイの入り口になりうることが分かった。スマホの広告IDをリセットする、広告をブロックする機能を使う、OSやブラウザーを最新にする、といった備えは、誰にでもできる。

この先どうなる

Citizen Labは、携帯電話の会社の弱点を突いて利用者の電話番号を割り出す、別の攻撃についても調べていて、別の報告で詳しく伝えるとしている。各国の規制当局に、関係する会社を調べるよう求めている。

カナダ・トロント大学の研究所Citizen Labは2026年10月15日、ネットの広告が表示されただけで、端末をスパイウェア(持ち主に気づかれずに情報を盗み出すソフト)に感染させる攻撃を、初めて公に技術的に確かめたと発表した。この手口を「AdFection(アドフェクション)」と名づけた。広告を押さなくても感染する「ゼロクリック」の攻撃で、国際的な報道機関アルジャジーラの端末が狙われたという。

どんな攻撃なのか

ネットの広告の多くは、ページやアプリを開いた瞬間に行われる「入札」で、どの広告を出すかが決まる。どの広告主がその人に広告を出すかを、1秒もかからずに競り合う仕組みだ。広告には、画像や動画だけでなく、ブラウザーやアプリの中で動くプログラムも含められる。

Citizen Labによると、AdFectionは次のように進む。

広告会社が入札に勝ち、標的の人が開いているサイトやアプリに広告が表示される。広告は、見えない場所で表示されることもある
広告の中のプログラムが、端末の情報を集めて広告会社に送る。ほとんどの人は標的ではないので、ここで終わる
標的と判断された端末には、追加のプログラムが送られ、スパイウェアの会社のサーバーとつながって、感染させられる

たとえるなら、街の大型ビジョンの広告を見ただけで、家の鍵の合いかぎが作られてしまうようなものだ(TECHNOVAの見方)。利用者が怪しいリンクを押さなくても攻撃が成り立つのが、怖いところだ。

誰が、どれくらい

広告会社: イスラエルの「Discover-Tech」。ふつうの広告会社を名乗っているが、複数のスパイウェアの会社の手助けをしていたと、Citizen Labはみている。標的を割り出して自動で感染させる「Controlium」という仕組みを持っていたという
スパイウェア: イスラエルのCandiru(今は「Integrity Labs」に名前を変えた)のもの
被害: 2024年から2025年に、アルジャジーラの少なくとも45台の端末が狙われた。アルジャジーラから提供された通信の記録から、広告の表示の後にCandiruのサーバーとつながる流れを確かめた
規模: Discover-Techの約40億件の入札の記録を調べると、4か月の間に、数十か国の約20万のウェブサイトやAndroid・iPhoneのアプリに、この会社の広告が表示されていた。数百万台の端末が、気づかないうちにCandiruのサーバーに接続させられていたという

Discover-Techは、Googleや欧州の広告業界の団体IAB Europeの「認められた業者」の一覧にも載っていて、Googleなどの大手の広告網を通じて広告を出していた。Citizen Labは、広告の業界が、こうした悪用を見つけられず、防げなかったとして、仕組みそのものの問題だと指摘している。