「いつも利用している有名ニュースサイトを見ただけなのに、スパイウェアに感染してしまった。しかも、同じサイトを見ていたほかの人は感染せず、自分だけが狙われていた。」
こんな話を信じられるでしょうか？
怪しいメールの添付ファイルを開いたわけでも、不審なリンクをクリックしたわけでもありません。ごく普通のニュースサイトを閲覧していただけです。
これまでは都市伝説のようにも聞こえた、このような攻撃が、現実に行われていたことが明らかになりました。
2026年10月15日、カナダ・トロント大学の研究機関「Citizen Lab（シチズンラボ）」は、インターネット広告を悪用して、特定の人物の端末だけをスパイウェアに感染させる攻撃を観測したと発表しました。
研究チームは、この攻撃手法を「AdFection（アドフェクション）」と名付けています。
今回の報告は、オンライン広告を経由したゼロクリック型の商用スパイウェア攻撃について、実際の感染事例に基づく技術的証拠を初めて公表したものです。
1. 何が起きたのか？ ニュースメディアを狙った攻撃
Citizen Labが調査したのは、国際ニュースメディアに対するサイバー攻撃です。
2024年から2025年にかけて、国際ニュースメディア アルジャジーラの少なくとも45台の端末が標的となりました。Citizen Labはネットワークログや感染端末から採取された不正プログラムを分析し、実際の感染事例も確認しています。
調査の結果、イスラエルのスパイウェア開発企業の製品が、オンライン広告を通じて配信されていたことが高い確度で判明しました。
特徴的なのは、利用者によるクリックやファイルのダウンロードを必要としない「ゼロクリック攻撃」だったという点です。
Citizen Labは、攻撃期間中のネットワークログや感染端末から採取された不正プログラムなどを分析しました。その結果、広告関連サーバへのアクセスに続き、スパイウェアの検証サーバ、さらに攻撃者の指令サーバへ通信する一連の痕跡を確認しています。
つまり、単なる理論上の攻撃ではなく、実際の端末でスパイウェア感染が発生していたのです。
2. なぜ自分だけが感染するのか？
この攻撃の鍵となるのは、私たちが日常的に利用している「ターゲティング広告」です。
通常、インターネット広告は、利用者の興味や関心、閲覧履歴、端末情報などをもとに表示されます。
例えば、旅行について検索すると、その後に航空券やホテルの広告が表示されることがあります。
この仕組みを悪用すると、広告を特定の利用者にだけ届けることができます。
今回の攻撃では、イスラエルの広告関連企業D社が、広告配信システムとスパイウェアを結びつける役割を担っていたと報告されています。
攻撃の流れを簡単に説明すると、次のようになります。
- 攻撃者が、標的の広告識別子、Cookie ID、IPアドレスなどの標的情報を登録する。
- 標的が広告を含むWebサイトやアプリを利用する。
- 広告が表示されると、埋め込まれたスクリプトが悪意ある広告配信企業のサーバへ接続する。
- 広告識別子やIPアドレスなどを基に、サーバ側で標的かどうかを判定する。
- 非標的端末には攻撃コードを返さず、標的端末にのみ追加のJavaScriptや攻撃コードを返す。
- ブラウザやOSなどの脆弱性が悪用され、スパイウェア感染に進む。高度な攻撃ではゼロデイ脆弱性が利用される場合もある。
ここで重要なのは、広告が表示されたすべての人が感染するわけではないことです。
同じニュースサイトの同じページを閲覧していても、攻撃者が指定した人物だけに悪意あるプログラムが送り込まれる可能性があります。
そのため、ほかの利用者が同じサイトを調べても、不正な広告や感染の痕跡が見つからない場合があります。
従来のWebサイト改ざんとは異なり、正常なWebサイトの広告配信経路が攻撃の入口となる点が厄介です。
3. 攻撃を可能にした「広告の仕組み」
今回の攻撃では、RTB（Real-Time Bidding：リアルタイム入札）という広告技術が悪用されました。
RTBは、広く一般的に利用されている方法で、Webサイトやアプリに広告を表示する際、その広告枠を瞬時にオークション形式で売買する仕組みです。
この処理は通常、1秒にも満たない短時間で行われます。
広告の入札情報には、IPアドレスや広告識別子、端末の特徴など、利用者を識別するための情報が含まれる場合があります。
広告配信企業D社が、こうした情報を利用し、特定の端末を狙った広告配信を可能にしていたとされています。
さらに、広告内のJavaScriptが外部サーバへ通信し、条件に一致した端末にだけ追加のコードを返す仕組みを使用していました。
一般の利用者に対しては悪意あるコードを返さないため、広告の安全性を検査する仕組みからも発見されにくくなります。
これは、通常の広告技術を利用して攻撃対象を正確に選別する、非常に巧妙な手法です。
4. 約20万のWebサイト・アプリに広告が配信されていた
Citizen Labの調査では、広告配信企業D社に関係する約40億件の広告入札記録が分析されました。
その結果、4か月間で、世界各国の約20万種類のWebサイトやAndroid・iOSアプリに広告が表示されていたことが判明しました。
広告が確認されたWebサイトには、Yahoo、BBC、CBC、ニューヨーク・タイムズなどの著名なメディアも含まれています。
また、ニュースサイトだけでなく、天気予報、動画再生、メッセージ、ゲームなど、日常的に使用するアプリも広告配信先となっていました。
ただし、これらのサイトやアプリで広告が表示されたことは、その利用者がスパイウェアに感染したことを意味しません。
これらのWebサイト自体が改ざんされた、または運営者が攻撃に関与したという意味ではありません。
第三者の広告配信経路を通じて、広告配信企業D社関連の広告が表示されたことを示しています。
広告の表示による追跡・情報収集と、特定の端末に対するスパイウェア感染は区別する必要があります。
それでも、一般に信頼されているWebサイトやアプリが、利用者の知らないところで攻撃経路になり得るという事実は、重要な問題を提起しています。
5. セキュリティ対策の前提が変わる
これまで、一般利用者に対するセキュリティ教育では、次のような注意喚起が中心でした。
不審なメールを開かない
怪しいリンクをクリックしない
信頼できないWebサイトにアクセスしない
不明なファイルをダウンロードしない
これらは現在でも重要な対策です。
しかし今回の事例は、それだけでは防げない攻撃が実際に存在することを示しました。
正規のニュースサイトを閲覧し、何もクリックしていない利用者が、標的となる可能性があるからです。
特に、機密情報を扱う企業、自治体、報道機関などでは、利用者の注意だけに依存しないセキュリティ対策が重要になります。
6. 企業や自治体はどう対策すべきか？
今回の攻撃では、利用者が広告をクリックしなくても、Webサイトやアプリに配信された広告を通じてスパイウェアに感染する可能性があることが確認されました。
広告は必ずしも画面上に表示されるとは限りません。バックグラウンドで処理される場合もあり、Webブラウザだけでなく、Android・iOSアプリも攻撃経路になり得ます。
Webブラウザやモバイルアプリでは、広告配信の仕組みを通じて外部サーバとの通信が発生します。今回の攻撃では、この広告配信経路が悪用され、標的端末に対して追加の悪意あるコードが配信される仕組みが確認されました。
Citizen Labは、このような攻撃への対策として、広告・トラッキングの遮断や、追跡の少ないブラウザの利用などを推奨しています。
これに加え、企業・自治体の実務上は、EDRやネットワークログを活用した多層的な検知・調査体制も有効です。
① 広告やトラッキング通信を遮断する
Citizen Labが特に重視している対策が、組織のネットワークと端末の両方で広告・トラッキングを遮断することです。
DNSフィルタリング、セキュアWebゲートウェイ、広告ブロック機能などを活用し、不要な広告配信サーバや追跡サービスへのアクセスを制限します。
今回のような攻撃では、正常なWebサイトを閲覧していても広告ネットワーク経由で悪意あるコードが配信されるため、広告の通信経路自体を制御することが重要です。
なお、広告ブロック機能やDNSフィルタリングによって攻撃経路を減らせるものの、すべての広告配信や追跡通信を遮断できるとは限りません。
② 広告識別子とターゲティングを制限する
広告配信では、端末の広告識別子やCookie、IPアドレスなどを利用して、特定の利用者を識別することがあります。
Citizen Labは、MDMなどを利用して広告ターゲティングを無効化することや、広告識別子の利用を制限することを推奨しています。
特に業務用スマートフォンでは、広告識別子の制限や追跡のオプトアウトを組織の標準設定にすることが考えられます。
ただし、広告識別子を制限しても、IPアドレスなどによる識別が完全になくなるわけではありません。
③ 追跡防止機能を備えたブラウザを利用する
Citizen Labは、広告ブロックやトラッキング防止機能を標準搭載し、Global Privacy Control（GPC）などに対応したブラウザへの移行も推奨しています。
企業や自治体では、利用するブラウザの標準設定を見直し、不要なトラッキングを抑制することが有効です。
④ 広告表示に伴う不審な通信を監視する
Citizen Labは、広告の表示（インプレッション）に伴って発生する通信について、不審なリクエストがないか監視することを推奨しています。
今回の調査でも、広告関連サーバへのアクセスに続いて、スパイウェアの検証サーバや指令サーバへの通信が発生していました。
企業や自治体では、DNSログ、プロキシログ、ファイアウォールログなどを収集・分析し、不審な外部通信を調査できる体制が重要です。
⑤ EDRと脆弱性対策を組み合わせる
ここからは、Citizen Labの直接的な推奨事項に加えた、企業・自治体向けの実務的な対策です。
EDRによる不審なプロセスや通信の監視、OS・ブラウザのアップデート、脆弱性管理を継続することで、侵害の予防や検知、事後調査に役立ちます。
ただし、高度なゼロクリック攻撃では、EDRで必ず検知できるとは限りません。また、未知の脆弱性を利用する攻撃は、アップデートだけでは完全に防げない場合があります。
そのため、広告配信経路の遮断を重視しつつ、端末とネットワークの両面で対策を組み合わせることが重要です。
今回の報告は、従来の「怪しいWebサイトを避ける」という対策に加え、信頼できるWebサイトやアプリを利用している間にも発生する広告通信を、セキュリティ管理の対象として考える必要があることを示しています。
7. 今回の事件が示す、本当の問題とは？
今回の報告で特に注目すべきなのは、攻撃者がニュースサイトそのものを改ざんしなくても、広告配信システムを利用して攻撃を実行できたことです。
Webサイトの運営者が安全なシステムを構築していても、外部の広告ネットワークを経由して不正なコードが利用者の端末に届けられる可能性があります。
しかも、攻撃対象が特定の人物に限定されていれば、一般的な監視や検査では発見が難しくなります。
これは、従来の「怪しいWebサイトを避ければ安全」という考え方だけでは対応できない問題です。
Citizen Labの調査を受け、Googleなど複数の広告事業者は広告配信企業D社との接続を遮断する対応を実施しています。
一方、今回の問題は特定の企業だけでなく、個人単位の追跡や、第三者によるコードの実行を許容する現在の広告配信システムそのものに関係しています。
まとめ：安全なWebサイトを見ているだけでは、安全とは限らない
「ニュースサイトを見ただけでスパイウェアに感染する。しかも、自分だけが狙われる。」
まるで都市伝説のような話ですが、Citizen Labは、そのような攻撃が実際に発生していたことを技術的な証拠とともに報告しました。
もちろん、一般的なWeb閲覧で同様の感染が頻繁に発生するという意味ではありません。今回確認されたのは、特定の人物や組織を狙う高度な標的型攻撃です。
しかし、正常なWebサイトや一般的な広告配信システムも攻撃に悪用され得ることは、セキュリティ対策を考えるうえで重要な教訓です。
これからのセキュリティ対策では、「利用者が何をクリックしたか」だけでなく、「利用者が何もしていなくても実行される処理」にも目を向ける必要があります。
参考資料
Citizen Lab（2026年10月15日）
Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware
著者紹介
山田幸志
MS365認定アドミニストレーターエキスパート、情報処理安全確保支援士。
Microsoft 365を中心としたクラウド、セキュリティ、インフラ領域を専門とするITエンジニア。
でも得意分野はLinux/仮想化。
日本最古のITコミュニティの幹事や、日本最大のネットワークオペレーター会議の実行委員長、セキュリティイベントやGadgetイベント発起人など、数多くの技術コミュニティの運営に携わる。コミュニティ活動を通じて幅広い知見と実践的なスキルを磨き、現場で得た経験や技術情報を発信している。
