世界を動かす技術を、日本語で。

イスラエル企業のデジタル広告が「ゼロクリック」スパイウェアのインストールを可能にする

2026年10月15日原文(theguardian.com)

概要

  • カナダのCitizen Labが、イスラエルの広告代理店Discover-Techによる ゼロクリック型スパイウェア 配信を報告
  • Discover-Techの広告は 世界中で数百万人 に配信され、Al Jazeeraなどが被害
  • 独自プラットフォーム Controlium を利用し、ユーザーの個人情報を収集・標的化
  • オンライン広告の仕組み自体が 大規模なセキュリティリスク となっている
  • 専門家が 規制と調査の必要性 を強調

イスラエル広告代理店によるゼロクリック型スパイウェア配信

  • カナダのトロント大学Citizen Labが Discover-Tech の広告によるスパイウェア感染を発見
  • Discover-Techは Controlium というソフトウェアプラットフォームを運用
    • ユーザーの プロファイリング および 匿名解除 機能
    • サードパーティのスパイウェアを用いて 標的デバイスを遠隔ハッキング
  • 感染は ユーザーの操作不要 で数秒以内に発生
  • Citizen Labによると、2024年以降 世界中で数百万人 がターゲット
    • Yemen、Brazil、Mexico、Czechiaなど多国で配信
    • Al Jazeeraのデバイス数十台が実際に被害

Controliumの仕組みとリスク

  • ユーザーがWebサイトで広告を閲覧すると、 IPアドレスや識別情報を取得
  • 標的と判断された場合、 スパイウェアを含む悪意あるコード が即座に配信
  • スパイウェアは メッセージ・写真・メール・通話記録・マイク制御 など全データへアクセス可能
  • 政府関係者、ジャーナリスト、ビジネスマン、活動家、学者、大使館職員など幅広い層が標的

オンライン広告エコシステムの脆弱性

  • Discover-Techの広告は 欧米政府機関や国際機関(UN、NATO、ICC、IAEA) のネットワークでも表示
  • 大手広告ベンダーや組織が 長年にわたり不正広告を検知・防止できなかった事実
  • オンライン広告市場は 自動化オークション方式 で運用
    • ユーザープロファイルに基づき リアルタイムで広告枠が売買
  • 規制が不十分なため、 悪意ある業者による悪用が拡大
  • Metaの広告収益の一部が 詐欺・違法ギャンブル・ポルノ等の広告 から発生しているとの指摘
  • 米国政府機関も 広告技術データを使った人の追跡ソフトウェア を購入

専門家・研究者のコメントと提言

  • Citizen LabのWolfie Christlは「 オンライン広告の仕組み自体が国家・民間・市民社会すべてにリスク」と警告
  • Bill Marczakは「 オンライン広告による自動ハッキングの技術的証拠を初めて確認」とコメント
  • Christlは「 サイバーセキュリティ機関・規制当局・立法者による早急な調査・規制強化」を要請

オンライン広告と監視社会

  • オンライン広告が 監視やハッキングのインフラ として機能する現実
  • 透明性の低い広告エコシステムが 新たなサイバー攻撃の温床
  • 今後の 国際的な規制・技術対策の必要性

Hackerたちの意見

結局、GoogleがAndroidのプライバシーを潰したのは、ハッキングを防ぐためには全く無意味だったね。でも、こういうことを利用して、いわゆる「自由な」プラットフォームをさらに閉鎖的にする理由にするかもしれない。同様に、Signalみたいなプライバシーメッセンジャーを使っても、いつでもデバイスを完全にコントロールされるなら意味ないよね。

└

Google Playストア以外からアプリをインストールするのを面倒にするためのGoogleの最新の取り組みが、これを解決すると思ってるんだろうね。Googleは30%の手数料を取ってるし。

└

ハッキングを防ぐためには無意味 他の人からハッキングされるのを防ぐためにはね。Googleはただ、自分たちの財産、つまりユーザーの動きを監視する能力を守ろうとしていただけ。Google自体はユーザーを「ハッキング」する必要なんて全くないし、すでに欲しいデータには全部アクセスできてる。Appleと同じように、ユーザーのデバイスを瞬時に壊す能力も持ってるしね。

└

同様に、Signalみたいなプライバシーメッセンジャーを使っても、いつでもデバイスを完全にコントロールされるなら意味ないよね。 全然無意味じゃないよ。スパイウェア会社にお金を払うより、従業員にメールを送らせたり、裁判官に頼んだりする方がずっとコストがかかるからね(そんなの必要かどうかも怪しいけど)。自分のPixelにGrapheneOSを入れてるから、メッセージのプライバシーにはかなり自信があるよ。だって、メッセージをやり取りする相手のほとんどがiPhone使ってるし、iPhoneはGrapheneOSを使ったPixelに次いでセキュリティが高いからね。しかも、俺の脅威モデルには傭兵スパイウェアは含まれてないし、ほとんどの人もそうだと思うよ。

└

結局、GoogleがAndroidのプライバシーを潰しても、ハッキングを防ぐためには全く役に立たなかったみたい。でも、こういうことを使って「自由な」プラットフォームのさらなる閉鎖を正当化するかもしれないね。サイドロードの制限について言ってるなら、それはソーシャルエンジニアリングや詐欺を防ぐためのもので、0dayからハッキングされるのを防ぐためじゃないよ。>同様に、Signalみたいなプライバシーメッセンジャーを使っても、いつでもデバイス全体を支配できるなら無意味だよね。ソース?プレイサービスは特権があるけど、そこまで特権があるわけじゃない。

└

でも、このハックはサイドロードが許可されていてもいなくても起こり得たかもしれないね。実際、OPのリンクをたどると、https://citizenlab.ca/research/how-discover-tech-turned-targ...、「その会社の広告は、数十カ国の約200,000のユニークなウェブサイトやAndroid/iOSアプリに表示されていた」って書いてあるから、アプリだけじゃなくて、AndroidのChromeブラウザで訪れる普通のウェブサイトも関係してる。

Citizen Labからの実際の報告: * https://citizenlab.ca/research/how-discover-tech-turned-targ...

イスラエルは、インターネットに登場して以来ずっとサイバー犯罪の中心地だよ。 https://en.wikipedia.org/wiki/Download_Valley

└

その成功のおかげで、IronSourceという会社がUnityと合併したんだけど、彼らは会社の25%を手に入れたと思う。 https://en.wikipedia.org/wiki/IronSource

└

それに、サイバーセキュリティの中心地でもあるんだよね。パロアルトネットワークス、チェックポイント、ウィズなど、全部イスラエルの企業だし。

└

それ、すごく納得できる。ターゲットネットワークでダウンロードを釣ってるだけだもんね。インストーラー内の広告を誰かがクリックするかどうかなんて実際はどうでもよくて、アドウェアの唯一の目的は、インストーラーと一緒に任意のソフトウェアを動かすことだから、相手のマシンを侵害できるようにするためなんだ。

└

あと、手頃なジェネリック医薬品もね。人によるけど。

Hacker Newsで議論の続きを見る