標的型広告でゼロクリック感染、Citizen Lab 報告

トロント大学の研究機関 Citizen Lab は 2026-10-15、標的型広告がスパイウェア感染の経路として使われていたとする報告「AdFection」を公開しました。広告を表示しただけで端末が狙われうるため、記者や政府関係者など標的になりうる人や、広告配信を扱う事業者に関係します。

主なポイント

広告企業を名乗る Discover-Tech の「Controlium」は、広告の表示時に端末の特定・フィンガープリント取得・自動感染を可能にしていたとされます。
広告内のスクリプトがサーバーに接続し、広告 ID と IP アドレスから対象と判定された端末にだけ JavaScript を返していました。大半の利用者には何も返りません。
2024-2025 年に Al Jazeera の少なくとも 45 台が、Candiru（現 Integrity Labs）に関連して狙われたといいます。
2026 年 3-6 月の約 37.7 億件の入札のうち約 19% が攻撃者のスクリプト付き広告で、75,373 アプリと 120,768 サイトで表示されました。
Google と IAB Europe は 10 月上旬に Discover-Tech をベンダー登録から外し、Beeswax、Eskimi なども排除や停止の措置を取りました。