広告技術がスパイウェア配信経路になったと研究者
トロント大学のデジタル調査部門 Citizen Lab の研究者によると、オンライン広告システムは、広告を届けるだけでなく、ユーザーを分析し、個別の端末をスパイウェアで密かに標的化するためにも使われ得る。調査の中心は、専門的なデジタル広告会社を名乗るイスラエル企業 Discover-Tech だ。
Citizen Lab は、Discover-Tech が Controlium というソフトウェアプラットフォームを運営していると説明する。研究者らは、このプラットフォームがインターネット利用者を大規模にプロファイリングして匿名性を解除し、選ばれた標的に第三者の商用スパイウェアを届けることを可能にすると主張している。
ユーザーには、モバイルサービスやデジタルゲームの広告など、普通に見えるカスタム広告が表示される可能性がある。広告配信の過程でIPアドレスなどの識別情報が露出し、その人物が監視対象に選ばれていれば、スパイウェアを含む悪意あるコードが端末に送られる可能性がある。
「ゼロクリック」が重要な理由
多くのセキュリティ警告は、不審なリンクをクリックしたり、見慣れないファイルをダウンロードしたりしないよう促す。ゼロクリック感染では、ユーザーが操作せず、気づかないまま侵害が起きる。Citizen Lab は、処理が数秒で済む可能性があるとしている。
デジタル広告は大規模に配信され、複数の仲介業者、データ交換、自動入札システムが関与する。Citizen Lab によれば、この基盤はまず大勢の中から候補を特定し、その後、選ばれた少数に悪意あるペイロードを送るために使われ得る。
研究者らはこのモデルを、広告の大規模な武器化と表現した。数百万人の広範なプロファイリングと、選択的な感染が同時に起こり得るためだ。
アルジャジーラの端末も標的だったとされる
Citizen Lab は、カタールの放送局アルジャジーラの数十台の端末が、Discover-Techの広告を通じて配信されたスパイウェアに侵害されたと考えていると述べた。広告を見たすべての人が標的になったという意味ではなく、広告配信が識別情報を集める最初の機会になり、その後に選ばれた標的が攻撃されたという主張だ。
Citizen Lab は、2024年以降、イエメン、ブラジル、メキシコ、チェコなど世界の数百万人にDiscover-Techの広告が配信されたとしている。Confiantの調査では、欧米の政府機関、国連、NATO、国際刑事裁判所、国際原子力機関に関連するネットワークでも広告が表示されたという。
これらのネットワーク上の全ユーザーが感染したことを意味するわけではないが、標的化が起こり得る広告配信環境の広さを示している。
単一のキャンペーンを超える問題
この事例は、広告プラットフォーム、媒体社、インターネット接続端末に依存する組織に難しい安全上の課題を突きつける。広告はウェブサイトやアプリに組み込まれ、複雑なサプライチェーンを通じて届くことが多い。
Citizen Labの研究者Wolfie Christlは、主要な広告事業者や組織が、疑われる悪意ある広告活動を長年検知も停止もできなかったことは憂慮すべきだと述べた。侵害が本当にゼロクリックなら、不審な操作を避けるという通常の助言だけでは保護が限られる。
今回の発見は、広告仲介業者、収集データ、広告が配信できるコードの監視を強化するよう、技術業界への圧力を高めている。
今後確認すべきこと
報告された内容は研究者の主張であり、技術的証拠や関係企業の回答と合わせて評価する必要がある。それでも、広告技術によるプロファイリングと商用スパイウェアの接近について明確な警告を示している。
この記事はThe Guardianの報道に基づいている。原記事を読む。
Originally published on theguardian.com