Discover-Tech のゼロクリック・スパイウェアがオンライン広告を通じて配信されたと Citizen Lab と Confiant が発表
何が起きたのか
Citizen Lab と Confiant のセキュリティ研究者は、共同調査を発表し、ゼロクリック攻撃（被害者の操作を必要としないハッキング）が、ターゲットを絞ったオンライン広告を通じて配信された最初の技術的証拠を発見した。この作戦の中心となった広告技術企業は、イスラエルの企業である Discover-Tech で、従来型のオンライン広告代理店を装っている。
The Verge が2026年10月15日に報じ、NBC News が先に報じたこの調査では、Discover-Tech はハッキンググループがウェブ全体に悪意のある広告を仕掛けることを可能にするパイプラインであると説明されている。Google と Comcast 傘下の広告企業 Beeswax は、その後 Discover-Tech を自社プラットフォームから削除し、IAB Europe は同社を承認ベンダーのリストから一時的に除外したと、Reuters が報じている。
広告パイプラインの仕組み
Discover-Tech は Controlium と呼ばれるプラットフォームを運営しており、研究者によれば、これによりスパイウェアのパートナーは「何百万人もの個人を正確にプロファイリングし、匿名性を解除し、デバイスのフィンガープリントを取得し、ゼロクリック・ハッキングの一種で彼らを標的にする」ことができるという。
Controlium はまた、パートナーが IP アドレス、モバイル広告 ID、ブラウザ識別子を使用して「感染またはプロファイリングのためのユーザーを選択する」ことを可能にする。実際には、これは通常の広告技術が広告目的で収集するターゲティングデータ（デバイスのフィンガープリント、永続的識別子、IP アドレス）が、マルウェア配信のための被害者選択メカニズムとして転用され得ることを意味する。
重要な新規性は、スパイウェア自体ではなく、配信チャネルにある。広告ネットワークは長い間、マルバタイジングを配信するために悪用されてきたが、研究者らは、広告インプレッション自体が感染ベクトルであり、ターゲットによるクリック、タップ、ダウンロードが不要なシステムについて説明している。
誰が標的にされたのか
Discover-Tech と協力していたグループの一つは、米国政府によってブラックリストに載せられているイスラエルのスパイウェアベンダー Candiru である。2024年と2025年に、Discover-Tech の広告は、カタールに拠点を置くニュースネットワークである Al Jazeera に Candiru 関連のスパイウェアを配信した。
研究者らは、この作戦が2024年から2025年にかけて、このニュース組織の少なくとも45台のデバイスを標的にしたと述べている。ジャーナリストとニュース組織は、商用スパイウェアの繰り返し発生する標的クラスであり、Al Jazeera への感染は、報道機関に対する傭兵的な監視というより広範なパターンと一致している。
研究者らが求めていること
Citizen Lab と Confiant は、広告業界に対し、自社プラットフォームのセキュリティを強化するよう求めている。具体的な要求はニュース報道では詳述されていないが、広告取引所と需要側プラットフォームは、クリエイティブ配信とターゲティングインフラを純粋に商業的な機能としてではなく、セキュリティ境界として扱う必要があるという枠組みである。
その後に取られた執行措置は、規制当局ではなく広告業界自身から出たものである点で注目に値する。Google と Beeswax は Discover-Tech を自社プラットフォームから削除し、承認ベンダーリストを維持する業界団体である IAB Europe は同社を一時的に除外した。
これが一つのベンダーを超えて重要な理由
この発見の重要性は構造的なものである。広告技術は、何百万ものウェブサイトやアプリを横断して特定の個人を識別し、プロファイリングし、リーチするために存在し、コンテキストを超えて持続する識別子を使用してそれを行う。これは、スパイウェア事業者が標的を選択してリーチするために必要な機能セットと機能的に同じである。
広告を通じたゼロクリック配信経路はまた、一般的な防御上の前提を覆す。ユーザーへのアドバイスは長い間、疑わしいリンクをクリックしないことや、未知の添付ファイルを開かないことに焦点を当ててきた。インプレッション自体がペイロードであるならば、ユーザーの行動はキルチェーンにまったく関与しておらず、緩和策はプラットフォームとブラウザ層に移行しなければならない。
Hacker News の議論からの実務者の教訓
このストーリーに関する Hacker News のスレッド（199ポイント、87コメント）は、少数の実用的なポイントに収束した。
広告ブロックは、オプションの追加ではなく、基本的な衛生状態として扱われている。 あるコメンテーターは、研究者の推奨が弱すぎると主張した：
「研究者はまた、標的リスクの高いユーザーに対し、広告ブロッカーを使用し、広告追跡を無効にし、モバイル広告 ID を定期的にリセットすることを推奨している。」「推奨」ではない。誰もがすべてのデバイスで uBlock Origin または少なくとも何らかのタイプの広告ブロッカーを使用しなければならない。そして、すべての家に pi-hole も必須である。Windows OS を使用していても、広告ブロッカーを使用しなければならない。Chrome を使用していても。すべてのブラウザで。
同じコメンテーターの枠組み、つまり広告ブロックはリスクの高い個人に限定されるのではなく、普遍的であるべきだというものは、この記事のリスクベースの推奨に対する実用的な対抗点である。
議論はまた、なぜイスラエルがこれほど多くの攻撃的サイバー能力を生み出すのかを問うた。 あるコメンテーターは、持続的な生存の脅威が国に早期に能力を開発させ、そのような組織が一度存在すると制御が難しいと推測した：
私の疑問は、なぜイスラエルはこれほど得意なのかということだ。少なくとも世界第4位のサイバー大国であり、米国、ロシア、中国に次ぐか、実際には同等かそれ以上かもしれない。おそらく、誕生以来、より大きな敵の脅威にさらされてきたため、生き残るために持てるものを活用しなければならなかったからだろう。そして、一度組織を育てて放っておくと、もうあまり制御できなくなり、花のように野原で育つ。
少なくとも一人のコメンテーターが、一次情報源の信頼性に異議を唱えた。 あるコメンテーターは LSE の研究リポジトリの論文にリンクし、「Citizen Lab は常に最も信頼できる情報源とは限らない」と書いた。このリンクには、この調査の方法論に対する具体的な批判は伴っておらず、異議は特定の調査結果への反論ではなく、一般的な信頼性への挑戦である。
重複した投稿が指摘された。 あるコメンテーターは、このストーリーがすでに別のアイテム ID で Hacker News に投稿されていると指摘した。
注意点と未解決の疑問
公開報道は Citizen Lab と Confiant の調査結果を要約したものであり、配信メカニズムの一次情報源は基礎となる技術的な報告書である。The Verge の記事は部分的にペイウォールがあり、上記の要約を超える詳細の一部は購読壁の背後にある可能性がある。
公開記録にはいくつかの疑問が残されている：Al Jazeera 以外の何人の個人が Controlium を通じてプロファイリングまたは感染されたのか、ターゲティングが特定の高価値の個人に限定されていたのか、それともより広範囲に及んでいたのか、そしてインプレッションがエクスプロイト配信経路として機能するのを防ぐために広告取引所がどのような技術的変更を行う必要があるのか。Google、Beeswax、IAB Europe が取った執行措置は、一つのベンダーに対処するものであり、広告ターゲティングインフラがゼロクリック攻撃面として機能するという根本的な能力に対処するものではない。