イスラエル企業、デジタル広告で「ゼロクリック」スパイウェアのインストールを可能に

トロント大学の研究者によると、イスラエルの広告代理店が、ターゲットに対して「ゼロクリック」スパイウェアの利用を可能にするオンライン広告を数百万件配信していることが明らかになりました。 シチズンラボは、トロント大学のデジタル調査研究ユニットであり、Discover-Techが運営するControliumというソフトウェアプラットフォームが、顧客にインターネットユーザーの「大規模なプロファイリングと匿名解除」を可能にし、その後、サードパーティのスパイウェアでターゲットを秘密裏にハッキングすることを可能にすると述べています。ユーザーがリンクやファイルとやり取りすることに依存する感染とは異なり、このスパイウェアは被害者の操作を一切必要とせずにインストールされるため、新たな配信手法であるとシチズンラボは述べています。 シチズンラボによると、感染はユーザーの知らないうちに、数秒で発生します。 「オンライン広告のエコシステムは、数百万人のユーザーをプロファイリングし、その後、ゼロクリックのマーセナリースパイウェアでターゲットを静かに感染させるために、大規模に武器化されています」と報告書は述べています。 報告書によると、Controliumは、ユーザーがデジタルゲームや通信サービスなどの一見無害なカスタム広告を表示された際に、ユーザーの身元とIPアドレスを収集できます。ユーザーがハッキングのターゲットとして選ばれた場合、マーセナリースパイウェア企業は、スパイウェアを含む悪意のあるコードをそのデバイスに送信できると研究者は述べています。 Discover-Techは2024年以降、イエメン、ブラジル、メキシコ、チェコを含む世界中の数百万人のユーザーに広告を配信しているとのことです。 研究グループConfiantによる関連研究も、Discover-Techの広告が欧州と米国の政府機関のネットワーク、さらには国連、NATO、国際刑事裁判所、国際原子力機関のユーザーにも表示されていることを示唆しています。 「主要な広告ベンダーや組織が、長年にわたり同社の悪意のある広告運用を検知も防止もできなかったことは、悲劇的です」とシチズンラボの研究者であるWolfie Christl氏は述べています。「今日のオンライン広告エコシステムの仕組みは、国家、民間セクター、市民社会、そしてその他すべての者にとってセキュリティ上の脅威となっています」。 シチズンラボによると、Controliumは、「政府関係者、ジャーナリスト、ビジネスマン、活動家、学者、大使館職員」をターゲットとするサードパーティのスパイウェア企業のための「促進者」として機能します。シチズンラボは、ターゲットのデバイス上のメッセージ、写真、メールにアクセスし、通話を記録し、秘密裏にマイクをアクティブにできるスパイウェアを配信できると主張しています。 Discover-Techによって可能になったとされるターゲティングの全範囲は不明です。シチズンラボの発見は、オンライン広告の世界を支える不透明な取り決めが監視に利用できるという増え続ける証拠に加わります。 「オンライン広告がターゲットを特定し、正確にハッキングするために使用できるという多くの噂がありましたが、今回初めて、このプロセスが実際に機能しているという具体的な技術的証拠が得られました」とシチズンラボの研究者であるBill Marczak氏は述べています。 Discover-Techにはコメントを求めて連絡を取りました。 ユーザーが広告を表示するウェブサイトにアクセスすると、そのユーザーの詳細情報は、数十または数百の企業が関与する、一瞬のプログラムによるオークションの一部となります。これらの企業は、そのユーザーの前に広告を掲載するために自動的に入札します。 これらの入札は、ユーザーのプロファイルに基づいており、デバイスに関する情報や、ウェブ全体でのアクティビティを追跡することによって収集されたデータが含まれる場合があります。例えば、スポーツ賭博と仮想通貨に関心のある35歳というプロファイルを持つ企業は、その個人にエナジードリンクの広告を表示するために入札する可能性があります。 この自動化されたオンライン市場にはほとんど規制がなく、悪意のあるアクターによって悪用されているという証拠が増えています。ロイターは、Metaの広告収入の数十億ドルが、詐欺、違法賭博、ポルノ、その他の禁止コンテンツの広告から来ていると報じています。米国では、ICEやその他の政府機関が、人々の移動を追跡するために広告テクノロジーデータを使用するソフトウェアを購入しています。 「サイバーセキュリティ機関、規制当局、および米国、欧州、その他の地域の立法者は、緊急に行動を起こす必要があります。彼らは関与した企業を調査し、悪意のある広告ターゲティングを可能にするシステム的なリスクを修正しなければなりません」とChristl氏は述べています。