トロント大学のCitizen Labの研究者によると、オンライン広告のインフラが個人を特定し、選ばれた端末にゼロクリック型スパイウェアを送り込むために使われていた。同グループは、この手法によって放送局アルジャジーラの数十台の端末が侵害され、被害者がリンクを開いたりファイルをダウンロードしたりする必要はなかったと説明した。
研究者は、この活動を、専門的なデジタル広告代理店を自称するイスラエル企業Discover-Techと関連付けた。Citizen Labによると、Discover-TechはControliumというプラットフォームを運営しており、インターネット利用者のプロファイリングと匿名性の解除を行い、その後、第三者のスパイウェア業者による攻撃を支援できるという。ガーディアンによるとDiscover-Techにコメントを求めたが、報道には同社からの回答は掲載されていない。
報告された攻撃の連鎖は、ウェブサイトやアプリが広告を読み込む際に行われる自動広告オークションから始まる。このオークションでは、広告主が広告表示の機会に入札するか判断できるよう、端末とその利用者の情報が多数の仲介業者の間を流通する。Citizen Labは、ゲームや通信サービスなどのキャンペーン向けに作られた、一見すると普通の広告が、識別子やIPアドレスの収集に使われていたと説明した。
研究者によると、観測された利用者が監視対象に選ばれていた場合、数秒以内に悪意あるコードを端末へ送信できたという。このため配信はゼロクリック型となり、標的となった人が広告に何らかの操作を行う必要はなかった。報告によると、第三者製のスパイウェアはインストール後、メッセージ、写真、電子メールの抽出、通話の録音、マイクの起動などを行える可能性があった。
Citizen Labは、Discover-Techの広告が2024年以降、イエメン、ブラジル、メキシコ、チェコなどの国で数百万人の利用者に届いていたと述べた。セキュリティ企業Confiantによる別の調査では、欧州と米国の政府機関や国際機関が利用するネットワークにも、この広告が表示されていたことが示された。意図的に標的とされた人や感染した人の総数は、依然として不明である。
今回の調査結果は、同社の広告が表示されたすべての人にスパイウェアが送り込まれたことを意味しない。研究者が説明しているのは、広範なプロファイリングの段階に続いて、選ばれた端末に対する選択的な攻撃が行われる仕組みである。またControliumについても、このシステムを通じて配信されるすべてのペイロードの製造元ではなく、別の監視業者の活動を支援するものと位置付けている。
この調査は、プログラマティック広告に内在するセキュリティ上のリスクを浮き彫りにする。広告の選定や効果測定のための情報が、攻撃者による特定の端末の特定にも役立ち得るという問題だ。Citizen Labは、サイバーセキュリティ機関、規制当局、立法関係者に対し、関係企業を調査し、広告システムを通じた秘密裏の標的化を可能にする弱点に対処するよう求めた。
この報告は、リアルタイム入札をめぐる長年のプライバシー上の懸念に、新たな側面を加える。広告オークションを流れるデータは、端末を見分け、その活動を追跡するのに十分な情報をさらす可能性がある。研究者によると、今回はその能力が侵襲的な監視製品の配信経路の一部となり、日常的な広告配信がセキュリティ上の事案になり得る状況を生み出していた。
