アル・ジャジーラ機器感染と大規模スパイウェア攻撃の暴露：AdFection と Discover-Tech

主要な発見事項

• イスラーム圏への標的攻撃

  • イスラーム圏に拠点を持つ国際ニュースネットワーク「アル・ジャジーラ」の機器が感染した。
  • 感染経路は、標的型オンライン広告を介したゼロクリック攻撃（ユーザー操作不要）。
  • 犯人は Candiru（再ブランド化：Integrity Labs）が開発した傭兵スパイウェア。

• 新規攻撃手法「AdFection」の公的な確認

  • 標的型広告を介したゼロクリック方式のスパイウェア感染については、初めて公的な技術的な確認が完了。
  • この攻撃手法は調査チームにより「AdFection」と名付けられた。

• 仲介業者 Discover-Tech の本質

  • 悪意のある広告は、イスラエル企業である Discover-Tech が購入。同社は表向き広告会社を装っていた。
  • 調査チームの分析により、同社は傭兵スパイウェアパートナーを支援する仲介業者として機能していたことが判明。

• 自動化された感染プラットフォーム「Controlium」

  • Discover-Tech が運営するプラットフォーム「Controlium」を使用。
  • 広告がレンダリングされた瞬間に、以下の操作を自動的に実行：
    • デバイスの匿名性解除（デ・アノナマイゼーション）
    • デバイスフィンガープリント化
    • 自動感染（傭兵スパイウェアの配信）

• 大規模な被害範囲

  • 40 億件の入札記録を分析。
  • 約 4 ヶ月間にわたり、数十カ国の約 20 万個のユニークなウェブサイト・アプリで広告が表示された。
  • 数百万台のデバイスが Candiru サーバーへ接続され、大規模追跡・偵察が行われた。

• 関連する脅威アクターと脆弱性悪用

  • Discover-Tech は Candiru の他にも、Intelos や Bindecy などの傭兵スパイウェア・情報収集アクターとも関連。
  • 実体「DARK CARTOGRAPHER」のアクターが同社インフラを利用し、モバイルキャリア脆弱性を悪用。
  • デバイス広告 ID と電話番号の紐付けにより、インターネットユーザーを大量に匿名化解除（デ・アノナマイゼーション）。

• 認証システムと GDPR の悪用

  • Google や IAB Europe が維持する「認定」「承認」ベンダーリストに掲載されていた。
  • Google、Yandex、Beeswax 等の主要ネットワークを介した広告配信も実施。
  • 欧州一般データ保護規則（GDPR） の同意枠組みを巧妙に利用し、EU 域内のユーザーを狙った。

• オンライン広告システムの構造的欠陥

  • 大規模な悪用とプライバシー侵害が露見したことは、オンライン広告システムに構造的欠陥が存在することを示唆。
  • 検出・阻止機能の不全により被害が発生した。

• 業界への警告と対応措置

  • 規制当局に対し、Discover-Tech および Candiru/Integrity Labs の関連法違反調査を要請。
  • Google、IAB Europe、Beeswax、Vungle (Liftoff)、Eskimi は Discover-Tech をデジタル広告エコシステムから切断。
  • DARK CARTOGRAPHER に対する緩和策について各ベンダーと連携中。

---

1. はじめに：成熟した悪用の余地

本セクションでは、オンライン広告エコシステムの概要と、Discover-Tech に関する発見事項を要約します。

「成熟」した悪用の余地を抱えるオンライン広告エコシステム

ユーザーがアプリやウェブサイトで広告を見る際、それは通常**リアルタイム入札（Real-Time Bidding, RTB）**の結果です。

• Google などが運営する取引所では、1 日数百兆回の入札が発生。
• 数秒以内にデバイスが要求し、勝者が決定されて広告がプッシュされる。
• 広告にはアプリ内またはブラウザ上で実行されるコードが含まれることがある。

広告エコシステムの構造

• デマンドサイドプラットフォーム（DSP）：広告主が広告を購入する側。
• サプライサイドプラットフォーム（SSP）：ウェブサイトやアプリ上の広告枠を販売する側。

悪意のあるアクターは、以下の 2 つの密接に関連する側面を利用しています。

1. 大規模データ収集と個人レベルでのターゲティング

   • 出版者は SSP のコードを追加し、ユーザー・デバイスに関する詳細情報を収集・共有。
   • 情報例：デバイス ID、特性、正確な位置情報、IP アドレス、アプリ情報等。
   • DSP はこの情報に基づき入札を行い、識別子（モバイル広告 ID、クッキー ID、IP など）を用いた個人ターゲティングを設計されているため、悪用されやすい。

2. 第三者コードの実行許容

   • 広告は単なる画像ではなく、追跡やクリック測定などを目的とした実行可能なコードを含む。
   • 広告主、DSP、SSP、その他第三者によって実行されるコードは「タグ」「ピクセル」「SDK」または「サードパーティトラッキング」と呼ばれる。

監視のための広告技術の悪用

入札から得られる情報は極めて価値があり、物理空間を移動するユーザーやネットワーク間での切り替えを追跡可能にする。

• 広告インテリジェンス（ADINT）プラットフォーム：第三者的なトラッキングデータと組み合わせて利用され、国防省や諜報機関などへ販売されるケースがある。

標的型広告を介したゼロクリックスパイウェア：AdFection

悪意のあるアクターは、入_bidに含まれるユーザーデータを基に特定個人を標的にし、デバイス上で悪意あるコードを実行させることができる。

• HTML や JavaScript を含む広告は、広告表示時に追加コードを取得・実行可能。
• ゼロクリック攻撃：単に特定の広告を表示させるだけで感染を引き起こす。
• 今回初めて、「傭兵スパイウェア企業が標的型広告を通じて配布されている」ことが技術的に実証された。

Discover-Tech：傭兵スパイウェア企業と広告エコシステムをつなぐ架橋

イスラエル拠点の企業 Discover-Tech は、正当な広告会社を装いながら大規模な広告スパイ活動悪用のフロント組織として機能している。

• 広告表示瞬間に自動的に傭兵スパイウェアを配信。
• 大規模なユーザープロファイリングおよび匿名化解除を実施。

Discover-Tech のプラットフォーム「Controlium」

Discover-Tech は、悪意のあるアクターに対し以下を可能にする架橋役を果たしている。

• 数百万人の個人を正確にプロファイリング・匿名化解除。
• デバイスフィンガープリントの取得。
• ゼロクリックハッキングによる標的攻撃の実施（広告表示直後の自動感染）。

Discover-Tech は多数の傭兵スパイウェア、ハッキング企業と協力しており、その広告は Candiru 等のパートナーに利用されている。また、Bindecy や Intelos 等との関連も確認された。

Discover-Tech の組織背景と機能

• CEO：ディケル・ボニ氏（デジタル広告の経験あり）。
• エグゼクティブ：元スパイウェア企業ネットワークを管理したサラ・ハモウ氏。
• 設立以降：2020 年設立。イスラエル紙より「攻撃的なサイバー作戦のパイオニア」と紹介されたバヌーン氏が取締役会に在籍（2025 年まで）。

Discover-Tech は以下のような広告掲載技法を採用している。

1. MyDSP プラットフォーム：Google、Yandex、Vungle (Liftoff) 等と連携。
2. 直接購入：Eskimi や Beeswax (Freewheel) などを通じた広告購入。

悪意あるコードの配信メカニズム

大量の広告は「NOAS サーバー」へのスクリプトタグを含んでいる。

• 広告レンダリング時、ユーザーの広告識別子（クッキー ID やモバイル広告 ID）を提出。
• NOAS サーバーは IP アドレスと識別子の組み合わせで送信可否を判定し、JavaScript コードを返送または 0 バイトを返す。
• これにより Discover-Tech は、直接悪意あるコードを共有することなく間接的な配信を実現した。

リストからの除外措置

調査結果を受け、以下の変更が実施された（2026 年）。

• Google および IAB Europe：Discover-Tech を認定ベンダーリストから除外。Google は取引所へのアクセスを停止。
• Beeswax：広告購入プラットフォームから削除。
• Vungle (Liftoff)：審査中として一時的にアクセス停止。
• Eskimi：アカウントとドメインをブロック。

レポート概要：Discover-Tech の AdFection パイプライン暴露

本レポートでは、以下の 11 のセクションに分けて詳細を説明する。

1. 第 2 セクション：Candiru との協力による AdFection 攻撃の仕組みとアル・ジャジーラ感染事例。
2. 第 3 セクション：マルウェア配信を可能にするコントロールパネル型インターフェース「Controlium」の詳細。
3. 第 4 セクション：Candiru/Integrity Labs、Bindecy、Intelos（ADINT）、DARK CARTOGRAPHER（電話番号紐付け）との関連性。
4. 第 5 セクション：広告到達範囲の分析（約 20 万種類のアプリ・サイトで表示）。特定の国や政府ネットワークへの到達も確認。
5. 第 6 セクション：広告展開方法とユーザー追跡技術、および他のベンダーとの識別子取り替え事情。
6. 第 7 セクション：企業ネットワーク、主要人物、MyDSP の起源、エコシステム内でのつながり。
7. 第 8 セクション：Candiru、Bindecy、Intelos という傭兵監視企業の概要と今回の発見との関連。
8. 第 9 セクション：活動可能にした業界団体およびベンダー（Google, IAB Europe, Beeswax, Vungle, Eskimi など）の調査。
9. 第 10 セクション：AdFection がユーザーセキュリティおよび人権に及ぼす影響について論じる。
10. 第 11 セクション：立法者、規制当局、防御側、業界に対して提言を行う（脅威緩和・阻止の方法）。

当チームはコメント要請書を 13 の企業に送付し、すべての回答は「企業との対応」というセクションで詳細に記録されている。