ロイターが2026年10月15日に報じたところによると、イスラエルの広告テクノロジー企業Discover-Techは、日常的なオンライン広告を利用して人々を追跡し、デバイスにスパイウェアをインストールしていた。同社は、Google、Comcast、Yandexが運営する広告プラットフォームを通じて、広大なウェブサイトおよびアプリケーションのネットワークに広告を配信していた。

Citizen LabとConfiantによる独立した調査では、この作戦の仕組みが明らかになった。広告を表示しただけで、クリックしなくても、ユーザーは監視やスパイウェアにさらされる可能性があった。

広告の表示だけで端末が侵害され得た理由

リアルタイム入札はミリ秒単位で広告枠をオークションにかけ、デバイスや位置情報のデータを潜在的な購入者と共有する。一部の広告はさらにコードを実行する。この共有データと実行可能な広告コードの組み合わせこそが、研究者らが技術的な侵入経路と特定したものだ。Citizen Labはこのゼロクリック・スパイウェア技術を「AdFection」と名付け、Discover-Techを、2021年に米国がブラックリストに載せたイスラエルのスパイウェアメーカーCandiruに結び付けている。

2026年4月12日、ConfiantはMyIPInfoバナーを特定した。このバナーはAmazon CloudFrontを経由してCandiruに関連するインフラへリダイレクトしており、広告は約90KBの隠蔽されたJavaScriptを含む偽の認証ツールを読み込み、デバイスに関する情報を収集し、暗号化されたチャネルを通じて通信できるようにしていた。Confiantは2026年4月から9月の間にこの活動を調査した。

アルジャジーラでは45台が感染、数百万台がさらなる露出に

Citizen Labは40億件の入札記録を精査し、Discover-Techが少なくとも12万のオンラインサイト7万5,000のアプリケーションに広告を掲載していたことを突き止めた。Confiantの推定では、少なくとも1日1,000万件の広告がDiscover-Tech経由で配信されていたという。Confiantの共同創設者Jerome Danguは「おそらく数億人がDiscover-Techの影響を受けていた」と述べた。

Citizen Labは、2024年から2025年にかけてCandiruのスパイウェアがアルジャジーラのWindowsマシン45台を侵害したことを確認した。同放送局は「職員数名を標的としたスパイウェア攻撃を非難する」と表明している。

Discover-Techの広告は、ペンタゴン、国連、NATO、欧州委員会、国際原子力機関、国際刑事裁判所といった政府・国際機関に関連するネットワークにも表示されていた。研究者らはまた、チップメーカーのNvidia、Broadcom、Micronに関連するネットワークでも同社の広告を検出している。

ただし、露出は必ずしも感染を意味しない。アルジャジーラで報告された侵害とは異なり、これらの表示事例は、当該機関のデバイスにスパイウェアが実際に感染したことを裏付けるものではない。

Google、IAB Europe、Beeswaxがアクセスを遮断

Googleは「当社のポリシーを組織的に違反した」ことを理由に、Discover-Techを広告プラットフォームから削除した。IAB Europeも同社を承認ベンダーのリストから外し、Comcast傘下のBeeswaxは同社のプラットフォームへのアクセスを遮断した。

今回の調査結果は、オンライン広告のセキュリティに対するより広範な懸念を引き起こしている。Citizen Labの研究者Wolfie Christlは「今日のオンライン広告の仕組みは、組織的なセキュリティ上の脅威だ」と警告している。

同じインフラの上に成り立つ1兆3,400億ドルの市場

広告市場は拡大を続けており、セキュリティへの懸念が一層高まっている。リアルタイム入札はこのエコシステムの中心にあり、数億ドル規模の支出を配分する同じオークションが、どの広告とそのコードがユーザーのデバイスに届くかを決定している。WARCは、2026年の世界の広告支出が1.34兆ドルに達すると予測しており、IABの統計によれば、米国のプログラマティック広告は2025年に1,624億ドルを売り上げた。しかし、セキュリティ対策は、広告業界における人工知能(AI)の活用拡大に追い付けていない。

IABの調査によると、AI主導の計測に関連する法務・セキュリティ・データのリスクについて、対策をすでに実施したか計画している広告主は調査の約40%にとどまる。

ノルウェーは最近、Microsoft傘下のXandrに対し、広告オークションを通じてGrindrの機微なデータを不正に共有したとして、9,200万ノルウェークローネの制裁金を科した。これはスパイウェア事件ではなくプライバシー違反の事例だが、規制当局のLine Coll氏は責任は「他者に転嫁できない」と述べた。

Discover-Techの事件が明らかになったのは、広告会社が消費者データとAIを活用したターゲティングへの投資を強めている時期である。Cryptopolitanが以前報じたように、Publicis GroupeはLiveRampを22億ドルで買収する契約に署名し、AIベースのマーケティング活動を強化している。この取引はスパイウェア攻撃とは無関係だが、データと自動化が業界にとっていかに中心的な存在になったかを物語っている。

Citizen LabはDiscover-TechとCandiruへの調査を求めており、広告プラットフォームに対し、ベンダーの審査方法と悪意ある広告の検出体制の改善を迫っている。こうした呼びかけが正式な調査や、広告テックサプライチェーン全体でのより厳格なベンダー審査につながるかどうかは、今後の動向次第だ。