広告が表示された瞬間に感染する——Citizen Labが暴いた「AdFection」、広告ネットワークが監視網に変わった日【2026】

毎日なにげなく見ているあの広告が、攻撃の入口になっていました。2026年10月15日、トロント大学の研究機関Citizen Labは72ページの報告書を公表します。国際メディアAl Jazeeraの端末45台が、広告経由でスパイウェアに感染したという内容です。クリックも、ファイルのダウンロードも不要。広告が表示された瞬間に感染が完了します。研究チームはこの手口をAdFection（アドフェクション）と名付けました。オンライン広告は、静かに監視のインフラへ姿を変えつつあります。

何が起きたのか——Al Jazeeraの端末45台が「広告経由」で感染した
Discover-Techとは何者か——広告会社を装った「橋渡し役」
1. 表向きの事業と、実態のギャップ
2. 経営陣とスパイウェア業界の太い接点
Controliumの仕組み——広告入札が攻撃インフラに変わるまで
【比較表】従来の攻撃とAdFectionの違い
被害はAl Jazeeraだけではない——NATO・IAEA・ICCのネットワークにも広告が届いていた
なぜ誰も止められなかったのか——広告サプライチェーンの構造的な死角
【比較表】広告プラットフォーム各社の対応
日本への影響——3兆5,840億円の広告市場と、見えない攻撃面
私たちにできること——広告ブロックと防御の現在地
1. 個人でできること
2. 組織と報道機関でできること
「無料」の代金は誰が払っているのか——監視型広告の行方
【FAQ】AdFectionと監視型広告に関するよくある質問
まとめ：広告は「無料の風景」ではなくなった

何が起きたのか——Al Jazeeraの端末45台が「広告経由」で感染した

Citizen Labが確認したのは、2024年から2025年にかけての一連の攻撃です。標的になったのは、カタールの国際メディアAl Jazeeraの内部ネットワークでした。同社は調査チームにネットワークログを提供し、解析の土台になりました。

ログには特徴的な並びが残っていました。感染した端末は、まずDiscover-Techのインフラへ接続します。これは広告が表示された証拠です。次にCandiruの検証サーバーへ接続し、端末の情報が確認されます。最後にCandiruの指令サーバーと通信し、感染が成立する流れです。

この時間的な並びを、研究チームはテンポラルシグネチャと呼びます。広告を見た端末が、数秒後にはスパイウェアの管理下に入る。研究者は「高い確度」でCandiru製スパイウェアと結び付けました。少なくとも45台が標的になっています。

当時、Al Jazeera側はこの手口を把握していませんでした。見慣れたバナー広告が、そのまま侵入口になっていたのです。ウイルス対策ソフトの警告も、不審なポップアップも出ません。感染までの時間は、わずか数秒でした。

Discover-Techとは何者か——広告会社を装った「橋渡し役」

報告書の中心にいるのは、イスラエルに拠点を置くDiscover-Techという企業です。表向きはデジタル広告の専門代理店を名乗っています。報告書は「正規の広告活動に従事していた証拠は見つからなかった」と明記しました。

表向きの事業と、実態のギャップ

Citizen Labのビル・マルチャック上級研究員は、同社を「広告事業者と傭兵型スパイウェアのエコシステムをつなぐ橋渡し役」と評しています。実際、同社の中核事業はこの橋渡しそのものだったと報告書は結論づけました。

経営陣とスパイウェア業界の太い接点

人脈をたどると、広告の看板の下に監視業界の面々が並んでいます。CEOのDekel Boni氏はデジタル広告の出身です。しかし2020年から2025年まで取締役を務めたEric Banoun氏は、監視企業Circlesの共同創業者でした。

CirclesはNSO Groupと緊密な関係にあり、Banoun氏が関わったSenpai TechnologiesはIntellexaコンソーシアムの一部です。さらに株主には、Intellexaの企業網を管理していたSara Hamou氏に関連する企業が含まれていました。同氏はギリシャのスパイウェア濫用事件で実刑8年を言い渡されています（控訴中）。

Controliumの仕組み——広告入札が攻撃インフラに変わるまで

Discover-Techが運用していたのが、Controliumというプラットフォームです。スパイウェア企業向けの「ワンストップ窓口」として設計されていました。広告と並べて、狙った個人へ悪意あるコードを届けられる仕組みです。

前提にあるのは、リアルタイム入札（RTB）という広告の売買方式です。広告枠は1秒未満のオークションで決まり、世界で1日に数千億件の入札が処理されます。Controliumはこのオークションで枠を落とすと、一見無害な広告を表示します。内容はゲームや通信サービスの案内などです。

表示と同時にJavaScriptが動きます。端末の指紋情報とIPアドレスを取得し、匿名化された利用者を特定します。これを業界用語でディアノニマイズと呼びます。標的と判定されると、端末はCandiruの検証サーバーへ誘導され、続いて指令サーバーと接続します。

権限を奪われた端末では、メッセージ・写真・メールの窃取が可能になります。通話の録音やマイクの起動も技術的には可能です。報告書は、動画広告の再生前に流れるあの数秒間に、これだけの処理が収まることを示しました。

調査の決め手は、相手側のずさんな管理でした。Controliumのログインページにはフロントエンドのソースコードが丸ごと残っていました。研究チームは通信を切って管理画面を再現します。パスワードなしで取得できたログイン記録には、Candiru社員2人とBindecy関係者の認証情報も含まれていました。

【比較表】従来の攻撃とAdFectionの違い

マルウェア配布に広告を使う手口は昔からあります。それでも今回が「初の確認例」とされるのは、攻撃の成立条件が根本から違うためです。三つの手法を並べると、違いがはっきりします。

項目	偽広告フィッシング	マルバタイジング	AdFection
必要な操作	リンクのクリック	偽サイトへの誘導とクリック	なし（ゼロクリック）
狙う相手	不特定多数	不特定多数	特定の個人・組織
主な技術	偽ログイン画面	不正な広告スクリプト	端末指紋＋検証サーバー＋指令サーバー
感染後の能力	入力情報の窃取	リダイレクト・情報窃取	通話録音・マイク起動・メール窃取
購入者	詐欺グループ	金銭目的の攻撃者	政府・傭兵型スパイウェア企業

違いを一言でまとめれば、狙いの精度と侵入後の権限です。不特定多数に向けた詐欺が、特定個人を狙う国家級の監視に変わりました。

被害はAl Jazeeraだけではない——NATO・IAEA・ICCのネットワークにも広告が届いていた

報告書が示す被害の範囲は、感染が確認された45台よりはるかに広いものです。研究チームは40億件の入札記録を解析しました。対象期間は2026年3月から6月までの4か月間です。

その結果、広告は7万以上のモバイルアプリと12万以上のウェブサイトに配信されていました。別の集計では、ユニークなサイト数は20万近くに達します。一部のアプリでは、100万回を超える広告表示が記録されています。

配信先には、軍・政府・重要インフラ・国家サイバー機関が使う端末も含まれていました。広告品質の調査企業Confiantは、米国防総省やエストニア情報システム局、国際原子力機関（IAEA）、国際刑事裁判所（ICC）のネットワークでも該当広告を確認しています。NATO関連のネットワークも報告書に登場します。

国別では、イエメン・ブラジル・メキシコ・チェコなどで配信が確認されました。ただし、これらの広告すべてが武器化されていたわけではありません。大半は通常の広告配信であり、標的だけが感染に至る設計です。

それでも影響は小さくありません。広告が表示された時点で、端末の情報はDiscover-Tech側へ送られます。報告書は「数百万台の端末をCandiruのサーバーへ誘導した」と指摘しました。背後にどの政府がいるのかは、特定できていません。

なぜ誰も止められなかったのか——広告サプライチェーンの構造的な死角

最も重い問いはここにあります。悪意ある広告が、なぜ何年も主要ネットワークを通過できたのか。報告書が明らかにした事実は、業界の前提を揺るがすものでした。

Discover-Techは、Googleと業界団体IAB Europeが維持する「認定」「承認」ベンダーのリストに載っていました。配信経路もGoogleやYandex、Beeswaxなどの主要ネットワークです。さらに同社は、EUの一般データ保護規則（GDPR）の同意フレームワークを利用して、域内の利用者を標的にしていました。

Citizen Labは13社にコメントを求めています。回答は企業ごとに分かれました。Adtimizerは対象サブドメインを「Discover-Tech側のインフラで自社管理外」と説明します。Volasimは製品プロモーションで外部広告事業者を利用したと認めつつ、スパイウェア関与を否定しました。

対応が早かったのは広告配信側です。Eskimiは数百ドル規模の配信を6月に停止し、その後アカウントとドメインを永久にブロックしました。Vungle（Liftoff）はアクセスを一時停止して独自レビューに入っています。GoogleはCitizen LabとConfiantの共同調査を受けて、広告プラットフォームからの登録を解除しました。

Citizen LabのWolfie Christl研究員は「主要な広告ベンダーや組織が、何年もの間この悪意ある広告活動を検知も防止もできなかったのは壊滅的だ」と述べています。多層構造のどこにも、悪意ある広告を検知する責任が明確に置かれていなかったのです。

【比較表】広告プラットフォーム各社の対応

報告書の公表後、関係各社はどう動いたのか。報道と回答文書から読み取れる対応を整理します。認定を受けていた事実と、その後の動きの差が目立ちます。

企業・団体	立場	発表後の対応
Google	広告配信	共同調査のうえ配信プラットフォームから登録解除
Yandex	広告配信	配信が確認される（対応は公表されず）
Beeswax（Comcast／FreeWheel）	配信基盤	監視体制と調査協力を説明
Vungle（Liftoff）	広告ネットワーク	アクセスを一時停止し独自レビューへ
Eskimi	配信基盤	6月に配信停止、アカウントとドメインを永久ブロック
IAB Europe	業界団体	認定ベンダーリストに掲載されていた事実が判明

注目すべきは、多くの企業が「自社の管理外」と説明している点です。責任の所在があいまいなまま、悪意ある主体が長期間居座れる余地が残りました。

日本への影響——3兆5,840億円の広告市場と、見えない攻撃面

報告書に日本企業の名前は出てきません。それでも、対岸の話で終わらせるのは危険です。理由は日本側の広告市場の構造にあります。

電通などの共同調査によると、2025年の日本のインターネット広告費は4兆459億円でした。前年比110.8%で、総広告費に占める構成比は50.2%。初めて過半数に達しています。うちインターネット広告媒体費は3兆3,093億円です。

さらに媒体費の88.7%は、入札方式で売買される運用型広告が占めます。金額は2兆9,352億円です。2026年の媒体費は前年比108.3%の3兆5,840億円まで伸びると予測されています。つまり日本人が見る広告の大半は、今回の攻撃の土台と同じRTB経路で配信されているのです。

身近な被害もすでに報告されています。日本語の偽警告で不安をあおり、偽のセキュリティソフトへ誘導する手口です。調査会社のデータでは、国内のアドブロックツール認知率は57.1%、認知者のうち利用経験がある人は34.3%にとどまります。

私はこの報告書を読み、日本経済新聞の「クリックしなくてもスマホ感染」という見出しを思い出しました。特殊な端末の話ではなく、私たちの手元にも同じ経路がつながっています。

私たちにできること——広告ブロックと防御の現在地

Citizen Labが示した対策は、特別なソフトの導入ではありません。すでにある設定や選択肢を見直すことです。個人と組織で、打ち手は分かれます。

個人でできること

広告ブロッカーを導入すれば、悪意ある広告が表示される段階で防げます。アプリ内広告も対象になる点が重要です。あわせてOSの広告トラッキング設定を無効にし、端末とアプリは常に最新の状態に保ってください。ゼロクリック攻撃は既知の脆弱性に依存するため、更新の遅れがリスクに直結します。

組織と報道機関でできること

報告書は報道機関に対し、セキュリティ体制とログの点検を強く勧告しました。広告インフラ、検証サーバー、指令サーバーという接続の並びは、ログをたどれば検出できます。業務端末と私用端末を分ける運用も有効です。

私の場合は、PCの広告ブロッカーに加えて、スマートフォンでもDNSレベルで広告配信元を遮断しています。表示を消すだけでなく、通信そのものを止められるのが利点です。設定は一度見直すだけで、日々の閲覧が静かになります。

「無料」の代金は誰が払っているのか——監視型広告の行方

今回の事件は、広告と監視の距離がどれだけ近いかを示しました。RTBは1日に数千億件の入札を処理し、端末・興味・行動の情報をやり取りします。この巨大なデータの流れは、監視事業者にとって格好の隠れ蓑になります。

認定リストはこれまで、安全性のお墨付きとして機能してきました。今回の報告書は、その前提が必ずしも成り立たないことを示しています。検知の仕組みが、攻撃者の手口の変化に追いついていなかったのです。

広告ブロッカーを入れる理由の上位は、広告が多すぎること、作業の邪魔になること、そしてプライバシーです。セキュリティはまだ上位に入っていません。しかし今回の事例を踏まえれば、広告の遮断は身だしなみではなく防御の一部になります。

今後の焦点は三つです。広告品質の監査を誰が担うのか。入札データをどこまで開示するのか。そして規制をどう設計するのか。Amnesty Internationalは2025年12月に同種の攻撃を報告しており、米国ではロン・ワイデン上院議員が政府機関のスパイウェア利用をGAOが監査するよう求める書簡を送りました。

【FAQ】AdFectionと監視型広告に関するよくある質問

ここでは、今回の報告書についてよく出る疑問と回答をまとめました。要点だけを短く整理しています。

質問	回答
AdFectionとは何ですか？	広告が表示されただけで端末を感染させる攻撃手法の名称です。Citizen Labが命名しました。
広告をクリックしなければ安全ですか？	いいえ。クリックを必要としないゼロクリック型のため、表示だけで攻撃が成立します。
どの端末が狙われましたか？	Al Jazeeraの端末45台が標的になりました。Windowsやモバイルなど複数の環境が含まれます。
攻撃した政府は特定されましたか？	特定に至っていません。ただしDiscover-TechとCandiruの関与は「高い確度」で示されています。
日本の利用者も危険ですか？	同じRTB経路は日本にも存在します。特定個人が狙われる確率は低いものの、ゼロではありません。
広告ブロッカーで防げますか？	広告の表示そのものを止められるため有効な対策の一つです。ただし万能ではありません。