通常のWeb広告を悪用したゼロクリック攻撃が判明、イスラエル製スパイウェアが報道機関を標的に

要点

• シチズン・ラボは、報道機関アルジャジーラの端末がオンライン広告を通じてイスラエル製スパイウェア「Candiru」に感染したと発表した。

• ユーザー操作を必要としない「ゼロクリック」攻撃で、広告経由による商業用スパイウェアの実機感染が技術的に実証されたのは世界初とされる。

• 広告会社Discover-Techが配信した広告が悪用され、指定の標的にのみ攻撃コードを送ることで広告審査をすり抜けていた。

• アルジャジーラで少なくとも45台が標的となり、Googleなど主要な広告プラットフォーム各社が同社の排除を実施した。

• カナダのトロント大学を拠点とする研究グループ「シチズン・ラボ（Citizen Lab）」は2026年10月15日、国際ニュースネットワーク「アルジャジーラ（Al Jazeera）」の端末が、Web上の一般的なオンライン広告を通じてイスラエル企業Candiru（カンディル）製のスパイウェアに感染していたと発表した。利用者の操作を一切介さない「ゼロクリック攻撃」により、政府向け商業用スパイウェアが広告経由で実機に侵入した事例の技術的確認は世界初となる。調査によると、アルジャジーラでは2024年から2025年にかけて少なくとも45台の端末が標的になっていたという。

広告表示だけで侵入する「ゼロクリック攻撃」の手口

今回の攻撃の特徴は、Webサイト上に広告が表示されただけで侵入処理が始まる点にある。ゼロクリック攻撃とは、リンクのクリックなどの操作を一切介さずに不正プログラムを実行させる手法を指す。シチズン・ラボによると、画面上に広告が読み込まれた瞬間に不正コードが実行され、一部では画面外のバックグラウンドで読み込まれたケースもあった。

政府機関向けに販売される商業用スパイウェア（高度な監視ツール）が広告を悪用して侵入する仕組みは、以前から企業流出文書などで指摘されていたが、実際の攻撃で技術的に実証されたのは今回が初となる。なお、侵害端末からスパイウェア本体は回収されたものの、ブラウザやアプリを突破する初期エクスプロイトそのものは取得されておらず、最初の手順はインフラ構成の分析から導き出されたと説明されている。

広告ネットワークの審査をすり抜ける標的選別の仕組み

攻撃の媒介となった広告は、表向き通常の広告代理店として活動するイスラエルのDiscover-Tech（ディスカバー・テック）社が配信していた。

同社の広告にはコードが仕込まれており、読み込み時に端末の広告IDとIPアドレスを密かに自社サーバーへ送信していた。サーバー側で端末が事前に指定された標的かどうかを判定し、標的である場合にのみ攻撃コードを返信、標的以外には何も返さない。広告自体には攻撃コードが含まれていなかったため、配信を仲介するアドネットワーク側の検知システムを正常な広告としてすり抜けていたという。

通信ログの追跡とスパイウェア「Candiru」の特定

アルジャジーラが提供した通信ログの解析では、まずDiscover-Techの広告サーバー、次に端末を精査するCandiruのサーバー、最後に遠隔操作を行うC2サーバー（侵入端末に指示を送る司令塔サーバー）へと接続する一定の順序が確認された。

侵害端末から回収されたWindows向けプログラムのコードは、シチズン・ラボが2021年に解析したCandiruのツールと特徴的な技術手法が一致したため、高い確信度で同社のスパイウェアと特定された。攻撃の背後にいる具体的な政府機関は明らかにされていない。なお、同社では2020年にもNSO Groupの「Pegasus」により36名以上の記者のiPhoneがハッキングされたが、今回は別の作戦と手法によるものだという。

プラットフォーム各社による排除と関与企業の背景

Discover-Tech社は2020年に設立され、CEOのDekel Boni氏が率いる企業で、直近までGoogleや欧州広告業界団体「IAB Europe」の認定ベンダーリストに掲載されていた。一方、ツールを開発したCandiruは2021年に米商務省のエンティティリスト（取引制限リスト）へ追加されたが、2025年に米投資会社Integrity Partnersに買収され、制裁対象外とされる新会社「Integrity Labs」へ資産が移管されていた。

シチズン・ラボからの報告を受け、GoogleとIAB Europeは2026年10月初旬に同社を認定リストから除外した。Googleはアドエクスチェンジへのアクセスを遮断し、ポリシー違反があったと説明している。さらに米Comcast傘下のBeeswaxが同社を排除したほか、Vungleはアクセスを一時停止、Eskimiはアカウントをブロックするなど、主要な広告プラットフォーム各社が相次いで遮断措置を講じた。