HN 日本語サマリー

← 一覧へ戻る
セキュリティ

広告テクノロジー企業は「傭兵スパイウェア」の配信システムだった

Ad-tech company was a delivery system for "mercenary spyware" (pluralistic.net)

31 pointsby samizdis3 コメント

要約

イスラエルの広告テクノロジー企業Discover-Techは、GoogleやFacebookなどの主要な広告プラットフォームを悪用し、「傭兵スパイウェア」をターゲットユーザーに配信していました。このスパイウェアは、ゼロクリック攻撃により、ユーザーの操作なしにデバイスを乗っ取ることが可能でした。この事実は、広告テクノロジー業界全体のセキュリティの脆弱性を浮き彫りにしています。

全文翻訳

Israeli ad-tech company was a delivery system for "mercenary spyware" (permalink)

インターネットユーザーの半数以上が広告ブロッカーをインストールしており、Doc Searls はこれを史上最大の消費者ボイコットと呼んでいます。このボイコットがいかに大規模であっても、誰もが、そう、誰もが、すべての「プログラマティック」広告をブロックすべきです。なぜなら、システム全体が非常に不安定であり、それを怠ると、デジタルデバイスの完全な侵害につながる可能性があるからです。

これは、Citizen Lab の最新の画期的な調査レポート「Exposing AdFection」から導き出される避けられない結論です。このレポートは、Google や Facebook を含む世界最大のアドテク企業が、ターゲットを絞った個人を特定し、ユーザーが一切の操作をすることなくコンピュータや電話を乗っ取る「ゼロクリックマルウェア」を配信するために広告システムを悪用した「傭兵スパイウェア」企業に、いかに乗っ取られたかを明らかにしています。

https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/

これらのテクノロジー大手は、事実上すべてのインターネットユーザーの詳細な監視プロファイルを amassed しており、スパイ活動のための社会保障番号のような、ユニークで永続的な識別子を私たち一人ひとりに割り当てています。これらの企業はまた、広告主、あるいは広告主を装う誰でも、それらの識別子に基づいて、コードの塊（広告とはすべてそれです）を誰にでも配信することを許可しています。

これにより、Discover-Tech というイスラエルのスパイウェア企業（アドテク企業を装っています）は、全体主義国家や悪徳な企業の傭兵に、毎日ログインする数十億人の中から個々のインターネットユーザーを摘み取り、「悪意のある広告」（つまり、任意のコードの塊）をそれらのターゲットユーザーに配信する能力を販売することができました。これらの悪意のある広告には、「クリックなし、ゼロデイ」攻撃が含まれており、これは、ユーザーの操作を一切必要とせずにデバイスを乗っ取るために、これまで知られていなかった脆弱性を悪用することを意味していました。これらの巨大なアドテク企業の一つに広告配信を依存しているウェブページを開いたり、アプリを開いたりするだけで、デバイスが侵害される可能性がありました。クリックは不要で、警告もありませんでした。

この攻撃キャンペーンのターゲットには、Al Jazeera の従業員のコンピュータが含まれていました。彼らは、傭兵スパイウェア企業 Candiru（皮肉が死んでいないので、現在は「Integrity Labs」と名乗っています）のマルウェアで攻撃されました。Candiru の他に、Discover-Tech は、何十万ものサイトやアプリで広告を配信することにより、数多くの犯罪的な傭兵スパイウェア企業による攻撃も促進しています。

Discover-Tech は、Google、Yandex、Microsoft、Beeswax（Comcast の一部門）、そしてアドテク業界の主要な専門団体である IAB によって、安全なサプライヤーとして「認定」されていました。皮肉なことに、Discover-Tech は、ユーザーが悪意のある GDPR 通知を配信することで、商用監視からオプトアウトできるかのように見せかけて攻撃さえしていました。

Discover-Tech はこれらの業界団体や企業すべてによって認定されていたため、40億件以上の広告オークションにアクセスでき、数十億回もの機会に、アプリをロードしたりウェブサイトを訪問したりするユーザーの身元を収集し、ターゲットリストと照合し、この網で発見された犠牲者を攻撃することができました。

Discover-Tech は、イスラエルのスパイウェアおよびハッキング企業とつながりのあるイスラエルの企業であり、その取締役会メンバーには Eric Banoun（「Haaretz」紙によると「イスラエルにおける攻撃的サイバーのパイオニアの一人」）が含まれています。彼らは、世界最悪の政府にサイバー兵器を日常的に販売し、その製品がジャーナリスト、大使館員、活動家を攻撃するために使用されてきた悪名高い NSO Group を含む、イスラエルの企業の悪名高い顔ぶれと重複、関係、提携を持っています。

この事件全体は、アドテク業界の計り知れない不安定さを浮き彫りにしています。その無差別で貪欲な監視と、明らかに不十分な審査およびセキュリティ監査は、現在、世界中のすべてのインターネットユーザーを恐ろしい標的型攻撃にさらしています。Google を含むこれらの企業は、世界中に監視の触手を張り巡らせた三度の詐欺師ですが、彼らは慎重さと監督をもってネットワークを運営していると主張しています。しかし、結果は明らかです。長年にわたり、彼らはジャーナリストなどを攻撃するためにインフラストラクチャを使用したサイバー傭兵の殺人リストのホストとなってきました。

これを避ける唯一の方法は、広告をブロックすることです。これはブラウザで十分簡単に実行できます（だからこそ、インターネットユーザーの大多数がブラウザに広告ブロッカーをインストールしています）。しかし、アプリをリバースエンジニアリングして変更し、その中の広告をブロックすることは違法です。

https://pluralistic.net/2026/07/21/dickovers/#block-element

多くのウェブサイトは、広告をブロックしたことを泥棒やけちだと非難する、しつこく罪悪感を抱かせる通知をプッシュするアンチ広告ブロックスクリプトを実行しています。それらの通知は無視してください。もしウェブサイトが、任意の第三者が数十億人をスパイし、悪意のあるデバイス乗っ取りをターゲットにすることを許可する「プログラマティック」広告を実行しているなら、そのコンテンツを見るには高すぎます。

一部のサイトはさらに進んでおり、広告ブロッカーをオフにするか、サブスクリプション料金を支払うように要求しています。この「支払うか、OK」というスキームは、ヨーロッパ、カリフォルニア、その他の強力なプライバシー法を持つ地域では違法であり、道徳的にも破綻しています。プライバシーは贅沢品であってはならず、誰もがサイバー攻撃から安全である権利があります。

https://noyb.eu/en/noybs-pay-or-okay-report-how-companies-make-you-pay-privacy

このレポートはまた、死なない危険な考え方に対する最も包括的な反論を提供しています。それは、アドテク分野での競争を改善するために、すべてのインターネットユーザーに、広告ターゲティングとフォローアップ（「アトリビューション」と呼ばれる）を「民主化」するために、政府発行の広告IDを義務付けるべきだという考え方です。

https://pluralistic.net/2024/08/07/revealed-preferences/#extinguish-v-improve

これらすべてにもかかわらず、これらは広告そのものに対する非難ではありません。ここでの問題は広告ではなく、監視です。アドテクセクターは、広告主に対し、コンテンツではなくユーザーに広告をターゲティングすることが広告パフォーマンスを劇的に向上させると確信させてきました。これに対する証拠は非常に乏しいです。ターゲット広告は、クリック率を 5% 未満（見ているページのコンテンツに関連するコンテンツベース広告と比較して）しか向上させず、非常に高価（そして非常に危険！）です。

さらに、監視ベースの広告は、公開している資料についてアドテク企業よりもよく知っているパブリッシャーから、ユーザーをパブリッシャーが決してできない方法でスパイできるスパイアドテク企業へと権力をシフトさせます。監視広告が市場から絞り取ることができるわずかな追加収益は、アドテクセクター自身の運営コストによって完全に圧倒されます。アドテクセクターは、セキュリティへの投資を著しく少なくし、パブリッシャーと広告主の両方を騙すために共謀し、広告の料金を高くし、それらを掲載するウェブサイトへの支払いを少なくすることで、これを補っています。

https://en.wikipedia.org/wiki/Jedi_Blue

広告サービスでの競争を改善したいのであれば、答えはスパイ活動を促進すること（これは世界最悪のサイバー傭兵が標的型攻撃を仕掛け、配信することを可能にします）ではありません。監視広告を完全に禁止し、コンテキストベース広告を、パブリッシャーが聴衆を裏切ることなく正直に生計を立てる方法としての役割に戻すべきです。

https://pluralistic.net/2023/05/31/context-ads/#class-formation

Hey look at this (permalink)

［画像］

［画像: A shelf of leatherbound history books with a gilt-stamped series title, 'The World's Famous Events.'］

Object permanence (permalink)

#25yrsago Linux on a Big Mouth Billy Bass https://web.archive.org/web/20010927153043/http://bigmouth.here-n-there.com/

#20yrsago No-Fly lists even stupider than suspected https://web.archive.org/web/20061019002553/http://rawstory.com/showoutarticle.php?src=http%3A%2F%2Fwww.cbsnews.com%2Fstories%2F2006%2F10%2F05%2F60minutes%2Fmain2066624.shtml

#20yrsago Canadian MP booted for his blog https://web.archive.org/web/20061026153747/http://www.cbc.ca/canada/story/2006/10/18/turner-caucus.html

#20yrsago Recording industry shuts out Brazilian legal scholars https://web.archive.org/web/20061103225020/http://www.a2kbrasil.org.br/ENG/SIGN-A-PETITION-FOR-AMENDING-THE

#20yrsago How pickpockets work https://web.archive.org/web/20070110023812/http://www.kiplinger.com/magazine/archives/2006/11/mystory.html

#15yrsago Why are more people opting for legal name-changes than ever before? https://web.archive.org/web/20111020163908/http://www.bbc.co.uk/news/magazine-15333140

#15yrsago Advice to the 1% from Lemony Snicket https://occupywriters.com/works/by-lemony-snicket/

#15yrsago Proposed Australian law makes it an offense to insult Gaming Minister Michael O’Brien https://web.archive.org/web/20120507161803/http://www.heraldsun.com.au/news/more-news/surely-this-is-a-joke/story-fn7x8me2-1226167552466

#15yrsago Aloha From Hell: Sandman Slim goes back to Hell and kicks more ass https://memex.craphound.com/2011/10/18/aloha-from-hell-sandman-slim-goes-back-to-hell-and-kicks-more-ass/

#10yrsago California DMV thinks “INFOS3C” is a dirty word https://www.techdirt.com/2016/10/17/california-dmv-rejects-1nfos3c-vanity-plate-because-sexual-connotation/

#10yrsago Howard Stern won’t release Trump tapes https://www.billboard.com/music/music-news/howard-stern-on-replaying-his-donald-trump-interviews-it-would-be-a-betrayal-7542079/

#10yrsago Kim Stanley Robinson says Elon Musk’s Mars plan is a “1920s science-fiction cliché” https://web.archive.org/web/20161018043554/http://www.bloomberg.com/news/articles/2016-10-17/why-elon-musk-s-mars-vision-needs-some-real-imagination

#10yrsago UK’s Investigatory Powers Tribunal says GHCQ illegally spied for 17 years https://www.theverge.com/2016/10/17/13305270/uk-illegal-surveillance-gchq-investigatory-powers-tribunal

#10yrsago Project Include cuts off Y Combinator because Peter Thiel is a part-time investor there https://web.archive.org/web/20161019043240/https://motherboard.vice.com/read/horrified-by-trump-silicon-valley-leaders-debate-cutting-ties-to-peter-thiel

#10yrsago Islamophobic terrorist cell planned a “bloodbath” in Kansas, wanted to kill Muslim babies https://web.archive.org/web/20161018144035/https://www.washingtonpost.com/news/post-nation/wp/2016/10/15/it-will-be-a-bloodbath-inside-the-kansas-militia-plot-to-ignite-a-religious-war/?utm_term=.a9d769256cf6

#10yrsago Everything Belongs to the Future: a tale of pharmadystopian, immortal gerontocrats https://memex.craphound.com/2016/10/18/everything-belongs-to-the-future-a-tale-of-pharmadystopian-immortal-gerontocrats/

#10yrsago UK government proposes issuing Britons with unique porn-viewing ID numbers https://www.openrightsgroup.org/blog/a-database-of-the-uks-porn-habits-what-could-possibly-go-wrong/

#10yrsago Donald Trump’s mail-servers are running Windows 2003 https://pluralistic.net/2021/10/18/labor-shortage-discourse-time/#core

#5yrsago Copyfraudster censors investigation of implausible covid gadget https://pluralistic.net/2021/10/18/labor-shortage-discourse-time/#copyfraud

#5yrsago Corporatism made John Deere ripe for a strike https://pluralistic.net/2021/10/18/labor-shortage-discourse-time/#deere-dash

Upcoming appearances (permalink)

［画像: A photo of me onstage, giving a speech, pounding the podium.］

［画像: A screenshot of me at my desk, doing a livecast.］

Recent appearances (permalink)

［画像: A grid of my books with Will Stahle covers..］

Latest books (permalink)

［画像: A cardboard book box with the Macmillan logo.］

Upcoming books (permalink)

  • "The Post-American Internet," a geopolitical sequel of sorts to Enshittification, Farrar, Straus and Giroux, 2027

  • "Unauthorized Bread": a middle-grades graphic novel adapted from my novella about refugees, toasters and DRM, FirstSecond, April 20, 2027

  • "Enshittification, Why Everything Suddenly Got Worse and What to Do About It" (the graphic novel), Firstsecond, 2027

  • "The Memex Method," Farrar, Straus, Giroux, 2027

［画像］

Colophon (permalink)

Today's top sources:

Currently writing:

- “Once Is Enemy Action,” a science fiction novel about the origins of modern technofascism. Today's words: 563 (26602 total).- "The Post-American Internet," a sequel to "Enshittification," about the better world the rest of us get to have now that Trump has torched America. Fourth draft completed. Submitted to editor.

  • A Little Brother short story about DIY insulin PLANNING

［画像］

This work – excluding any serialized fiction – is licensed under a Creative Commons Attribution 4.0 license. That means you can use it any way you like, including commercially, provided that you attribute it to me, Cory Doctorow, and include a link to pluralistic.net.

https://creativecommons.org/licenses/by/4.0/

Quotations and images are not included in this license; they are included either under a limitation or exception to copyright, or on the basis of a separate license. Please exercise caution.

How to get Pluralistic:

Blog (no ads, tracking, or data-collection):

Pluralistic.net

Newsletter (no ads, tracking, or data-collection):

https://pluralistic.net/plura-list

Mastodon (no ads, tracking, or data-collection):

https://mamot.fr/@pluralistic

Bluesky (no ads, possible tracking and data-collection):

https://bsky.app/profile/doctorow.pluralistic.net

Medium (no ads, paywalled):

https://doctorow.medium.com/

Tumblr (mass-scale, unrestricted, third-party surveillance and advertising):

https://mostlysignssomeportents.tumblr.com/tagged/pluralistic

"When life gives you SARS, you make sarsaparilla" -Joey "Accordion Guy" DeVilla

READ CAREFULLY: By reading this, you agree, on behalf of your employer, to release me from all obligations and waivers arising from any and all NON-NEGOTIATED agreements, licenses, terms-of-service, shrinkwrap, clickwrap, browsewrap, confidentiality, non-disclosure, non-compete and acceptable use policies ("BOGUS AGREEMENTS") that I have entered into with your employer, its partners, licensors, agents and assigns, in perpetuity, without prejudice to my ongoing rights and privileges. You further represent that you have the authority to release me from any BOGUS AGREEMENTS on behalf of your employer.

ISSN: 3066-764X