広告技術企業Adformのスクリプトが改ざん、暗号資産アドレスを書き換えるサプライチェーン攻撃が発生

要点

• 広告配信技術を提供するAdformのJavaScriptファイルが改ざんされ、Webサイト訪問者の暗号資産アドレスを書き換える攻撃が発生した。

• コピーや直接入力されたビットコインなどの送金先アドレスを、攻撃者のアドレスに置き換える仕組み。

• 2026年7月27日に検知・修正されたが、古いデータが残っている可能性があるため、ブラウザキャッシュのクリアが呼びかけられている。

• 影響を受けた正確な期間や被害に遭ったサイト数など、インシデントの全体像は明らかになっていない。

• 広告技術（アドテック）企業であるAdform（アドフォーム）が配信するJavaScriptファイルが改ざんされたことが判明した。同社は2026年7月27日に問題を検知してコードを削除し、顧客へ通知した。この改ざんにより、同社のスクリプトを読み込む複数のWebサイトにおいて、訪問者が暗号資産を送金する際のアドレスが攻撃者のものに書き換えられる被害が生じた可能性がある。

サプライチェーン攻撃による被害の仕組み

今回のインシデントは、信頼された配信元のファイルを改ざんして多数のサイトに被害を広げる「サプライチェーン攻撃」という手法で行われた。

対象はAdformが配信するトラッキング（ユーザーの行動を追跡する仕組み）用のスクリプト trackpoint-async.js（配信元：s2.adform[.]net）だ。このスクリプトはサイト全体で実行される設定が多く、配信元の侵害だけで、攻撃者は個別サイトをハッキングすることなく多数のサイトへコードを埋め込んだ。

ユーザーが該当サイトでビットコイン（BTC）、イーサリアム（ETH）、トロン（TRX）のアドレスをコピーまたは入力すると、裏で攻撃者のアドレスに書き換えられ、資金が盗まれる危険があった。

悪意あるコードの高度な挙動

解析によると、改ざんされたファイルには2つのコードブロックが追加され、一部は難読化（コードを解読されにくくする処理）されていた。

1つ目はクリップボード（データを一時保存する領域）の監視だ。約4秒ごとに中身を読み取り、特定の暗号資産アドレスを見つけると攻撃者のものに置き換える。ページ読み込み時に特定のIPアドレス（84.32.102[.]230:7744）へ、訪問サイト情報などを送信する処理もあった。

2つ目は入力フォーム（inputやtextareaなど）の監視だ。直接の手入力やプログラムによる書き込みを検知してその場で置き換える。書き換え後にカーソルの位置を元に戻すなど、ユーザーに気づかれにくい工夫がされていた。

被害規模とタイムラインの食い違い

Adformは、改ざんコードはデバイスへの侵入を狙ったものではなく、ページが開いている間のみ一時的に動作したと説明している。

同社は外部サーバーへ情報が送信された証拠はないとするが、分析ではデータ送信自体は技術的に可能だったとされる。

影響を受けたサイト数や被害額の全体像は公表されていない。また影響期間も見解が分かれており、Adformが影響日を2026年7月27日とする一方、セキュリティ研究者のケビン・ボーモント氏は過去1週間にわたり不審な活動を観測していたと報告している。

利用者への影響とAdformの規模

Adformの2025年レポートによれば、同社は世界180カ国以上で約1,800の顧客を抱え、1日あたり約15億件の広告を表示している。被害件数は不明だが、広範な配信基盤を持つ企業が標的となった。攻撃者は特定されておらず、攻撃の痕跡（IoC）も公表されていない。

Adformは悪意あるコードを削除したが、ブラウザに古いスクリプトがキャッシュ（データを一時保存する仕組み）されている可能性があるとして、キャッシュのクリアを呼びかけている。また、送金前にアドレスが正しいか必ず確認するよう推奨している。