(訳者前書き)以下は、カナダのCitizen Labが公表した報告書「AdFectionの全貌：Discover-Techがいかにしてターゲティング広告をゼロクリック型傭兵スパイウェアの供給源に変えたか」の要約の飜訳です。

これは、私たちの報告書「AdFectionの全貌：Discover-Techがいかにしてターゲティング広告をゼロクリック型傭兵スパイウェアの供給源に変えたか」の要約である。下記の報告を読む上でGoogleの広告の仕組みについて、ある程度理解しておくとよいかもしれません。Googleの下記のサイトを参照してください。

Google 広告のオークションの仕組み

(Google)インプレッション シェアについて

下記の報告書には日本への言及がありませんが、関心を持たなくてよいとか、関係なくてよかった、ということではありません。むしろ日本における実情は不明である、と考えた方がよいでしょう。(としまる 2026/10/26アクセス)

---

(citizenlab.ca)「AdFectionの全貌：Discover-Techがいかにしてターゲティング広告をゼロクリック型傭兵スパイウェアの供給源に変えたか」報告書（要約）

公開日

2026年10月15日

著者

ビル・マルザック、ウォルフィー・クリストル、ジョン・スコット＝レイルトン、アストリッド・ペリー、シエナ・アンスティス、およびロン・デイバート

ウェブサイトやアプリでターゲティング広告を目にするたびに、これは通常、瞬時のデジタルオークションで落札された結果によるものだ。Googleなどの企業が運営するこれらのオークションは、広告主が特定の消費者に到達し、そのプロファイルを把握できるよう設計されている。リアルタイム入札（RTB）オークションでは、毎日数千億件もの入札と広告販売が処理されている。このシステムは、人々とそのデバイスに関する膨大な情報を発信しており、それをもとに、人々の興味、閲覧行動、移動経路、習慣などを推測することができる。

本報告書は、このエコシステムが、数百万人のユーザーをプロファイリングし、その後、ゼロクリック型の傭兵スパイウェアを用いて標的を密かに感染させるために、大規模に悪用されていることを明らかにしている。私たちは、この種の攻撃を「AdFection」と呼んでいる。本報告書の核心となるのは、イスラエルを拠点とする傭兵スパイウェアの仲介業者「Discover-Tech」であり、同社は、悪用可能なデジタル広告の世界と、標的型スパイ活動を行う国家との間の架け橋として機能している。

本報告書は、標的型広告を介してゼロクリック型の傭兵スパイウェアが実環境のデバイスに感染する様子を技術的に実証した、史上初の事例である。私たちは、国際メディアネットワーク「Al Jazeera」のデバイスが標的とされ、AdFectionを用いてCandiruの傭兵スパイウェアに感染させられたことを、高い確信を持って確認した。

本報告書は、Confiantによる調査と同時公開されている。

Discover-Tech：傭兵型スパイウェアとオンライン広告をつなぐ架け橋

Discover-Techは、合法的なオンライン広告事業を装って活動している。実際には、このイスラエルに拠点を置く企業は、ハッキングを行う複数の傭兵型スパイウェア企業と、「合法的な」オンライン広告エコシステムとの間の架け橋となっている。本報告書では、Discover-Techが合法的な広告活動に従事していたという証拠は一切確認されなかった。

Discover-TechのCEOはデケル・ボニDekel Boniであり、彼はデジタル広告の経歴を持つ。Discover-Techは、ほぼ6年間にわたり、傭兵型スパイウェア業界でよく知られた主要人物たちと関わりを持っていた。その中には、2020年に同社の取締役会に加わり、2025年まで在任したエリック・バヌーンEric Banounが含まれる。バヌーンは以前、悪名高いスパイウェアベンダーであるNSOグループやインテレクサIntellexaと密接な関係にあった監視企業、サークレス（Circles）およびセンパイ・テクノロジーズ（Senpai Technologies）を共同設立していた。2020年から2026年にかけて、Discover-Techの株主には、サラ・ハムーSara Hamouに関連する企業が含まれていた。ハムーはIntellexaの企業ネットワークを管理しており、ギリシャでのスパイウェア悪用スキャンダルへの関与により、ギリシャの裁判所から懲役8年の判決（控訴中）を受けている。

Controlium：ゼロクリック型ターゲティング広告

Discover-Techは、傭兵的なスパイウェア企業がオンライン広告を通じて標的を感染させるためのワンストッププラットフォームであるControliumを運営している。Controliumを利用することで、これらの企業は数百万人のユーザーを大量にプロファイリングし、匿名性を解除した後、一見無害に見える広告にゼロクリック型エクスプロイトを仕込んで個々の標的のデバイスにスパイウェアをインストールし、密かにハッキングすることができる。

Controliumのユーザーには、傭兵型スパイウェア企業Candiru（現在は米国を拠点とするIntegrity Labsが所有していると報じられている）が含まれる。Candiruは、「政府高官、ジャーナリスト、実業家、活動家、学者、大使館職員」を標的とするスパイウェアを開発したとして、米国商務省によりエンティティリストに掲載された。Controliumのプラットフォームは、ゼロクリック型モバイルエクスプロイトを専門とするイスラエル拠点のBindecyや、Intelosという別の傭兵型監視企業とも関連している。

広告受信者のプロファイリングとハッキング

Discover-Techが配信した一見無害に見えるターゲティング広告がユーザーに表示されると、そのユーザーの広告識別子とIPアドレスがDiscover-Techが運営するサーバーに送信される。ユーザーがハッキングの対象として選定されると、最終的にその端末に悪意のあるJavaScriptコードが送信され、ブラウザやアプリによって実行される。その後、そのコードが端末の脆弱性を悪用し、感染させる。

Discover-Techは、傭兵型スパイウェア業界とオンライン広告エコシステムを結びつけている。

一見無害に見える広告自体にエクスプロイトコードが含まれていないという事実が、Discover-Techにとって、広告を配信するプラットフォームから広告の隠された目的を隠蔽するのに役立っている。

私たちは、Discover-Techがユーザーにこのような広告を配信するために入札を行った事例を数十億件確認したが、同社が「正当な」広告事業活動に従事している兆候は一切見られなかった。

大規模なプロファイリングと匿名性の解除

Discover-Techは、Google、Yandex、Beeswaxを含む世界的な主要広告ネットワークと連携しており、IPアドレスやモバイル広告IDなど、さまざまな識別子やネットワークを横断して個人を結びつけるために、幅広い手法を用いている。

私たちはDiscover-Techからの数十億件に及ぶ広告入札記録を分析し、同社の広告が数十カ国にわたる数百万台のデバイスに対し、プロファイリングおよび感染サーバーへの接続を誘導していたことを突き止めた。

DuoLingoから出会い系アプリ、生理周期管理アプリ、ドイツの天気アプリ、Yahoo Mail、Viber、Truecallerなどの通話アプリに至るまで、幅広いアプリ内でDiscover-Techの広告が表示されているのを確認した。

Discover-Techはモバイルアプリでの広告を好んでいるようだが、アルメニアやセルビアからデンマークに至る特定の地域の人気サイトに至るまで、ウェブサイト全体で幅広いターゲティングが行われていることを私たちは確認した。また、CBC、AccuWeather、FoxNews、The New York Times、Haaretz、BBCなど、数多くのサイトで同社の広告が表示されていることも確認した。

広告インプレッションデータが示す、体系的なAdFectionリスク

広告入札データの調査によると、Discover-Techの広告は、世界中の国家安全保障上重要なネットワーク内のデバイスに表示されていた。これには、各国の国防省、軍、国家サイバー機関、NATOを含む政府間組織や多国間安全保障組織のネットワーク、および重要インフラに関連するネットワークが含まれる。また、データからは、世界中のメディア組織のネットワークからのインプレッションも確認された。少なくとも、これらの広告インプレッションは、Discover-Techによるプロファイリングにつながったと私たちは評価している。場合によっては、これらのインプレッションにより、Candiruやその他の組織のコードがユーザーの端末上で実行された可能性もある。

Discover-Techの広告インプレッションそのものが、標的化やスパイウェアへの感染を直接裏付けるものではない。しかし、Discover-Techがこれらのネットワーク上で広告の入札を行い、表示することができたという事実は、AdFectionおよび広告エコシステムがもたらす体系的なリスクを浮き彫りにしており、これらのネットワーク上のユーザーがスパイウェアに感染していたかどうかを判断するため、早急な調査が必要である。また、Discover-Techのインプレッションに関する私たちの把握範囲は、Discover-TechのMyDSPプラットフォーム上のデータに限定されている点にも留意する必要がある。このデータにはBeeswaxやEskimiからのデータは含まれておらず、対象期間も限定的である。この不完全性は、さらなる追跡調査の必要性をさらに裏付けている。

NATOおよび国連

NATOおよび国連のネットワークにおいてインプレッションを確認した。

欧州連合（EU）の機関

欧州では、欧州議会、欧州委員会、および欧州連合理事会事務局のネットワークにおけるインプレッションを特定した。

北欧諸国の政府および重要インフラ関連クラスター

デンマーク、ノルウェー、スウェーデンを含む北欧諸国において、広範囲にわたるインプレッションを特定した。当クラスターは綿密な精査が必要であると判断しており、特に懸念される調査結果を以下に挙げる：

• ノルウェーでは、Discover-Techの広告が、議会（Stortinget）、ノルウェーデジタル庁（Digitaliseringsdirektoratet）、ノルウェー通信庁（Nasjonal kommunikasjonsmyndighet）、国家ITネットワーク（Statens IT）、ノルウェー警察（Politiets It-enhet）、重大犯罪捜査局（Kripos）など、多数のネットワーク上のユーザーに表示されていた。特に注目すべきは、ノルウェー北部の複数の県および自治体のネットワーク、さらには主要な軍事施設の近隣（例：アルタ、ハルスタッド、ノルランド）においても、広告のインプレッションが確認された点だ。
• スウェーデンでは、Discover-Techの広告が、スウェーデン国防軍、全国送電網運営事業者（Svenska Kraftnät）、国営電力会社（Vattenfall AB）、全国インターネットエクスチェンジ（Netnod AB）、防衛関連企業サーブ（Saab）、ボルボ・グループ、チャルマース工科大学を含む大学ネットワーク、国家研究助成機関（Verket for Innovationssystem）、 およびスウェーデン国立気象・水文研究所（Sveriges Meteorologiska och Hydrologiska Institut）のネットワーク上で、ユーザーに表示された。
• デンマークでは、Discover-Techの広告が、国営鉄道網（Banedanmark）、国営郵便公社（Post Danmark）、デンマーク国立研究教育ネットワーク（Forskningsnettet）に加え、複数の自治体および地方自治体のネットワーク、公衆衛生当局のネットワーク上でユーザーに表示された。また、デンマークのデジタルインフラ企業KMD A/S、ベスタス・ウィンド・システムズやオーストエドといった再生可能エネルギー分野の企業、グルンドフォス、デン・ダンスケ銀行をはじめとする銀行、コペンハーゲン空港のネットワーク上でも広告が表示された。

オーストラリア：重要インフラ、政府および大学のネットワーク

広告インプレッションデータからは、オーストラリアにおいてもインプレッションが集中していることが明らかになった。これには、送電網や電力会社といった重要インフラ分野に関連する政府および民間セクターのネットワークに加え、オーストラリア・シンクロトロンやオーストラリア原子力科学技術機構（ANSTO）など、原子力研究に携わる機関を含む大学や研究センターのネットワークも含まれている。

政府機関の標的：世界的なリスト

データ中には、地理的に異なる多数の広範囲なインプレッションのクラスターが確認される。これらのインプレッションの多くは、防衛、外務、内務、あるいは治安機関で発生していた。以下の表は、Discover-Techのインプレッションが確認された政府ネットワークの例を示す。

Discover-Techのインプレッションが確認された政府ネットワークの例
アルメニア 中央選挙管理委員会
中央銀行
首相府
チェコ 財務省
外務省
内務省
国家医薬品規制庁
チェコ電気通信庁
農業省
チェコ国立銀行
労働・社会問題省
プラハ市役所
国家サイバー・情報セキュリティ庁
イスラエル 保健省
外務省
政府ICT庁
国防省
イスラエル警察
イスラエル銀行
イスラエル・インターネット協会
イスラエル空港公社
イタリア イタリア銀行
議会（下院）
国防省

Discover-Techのインプレッションが確認された、政府が管理または運営するネットワークの例。

調査は現在も進行中だ。現時点で、以下の国の政府運営ネットワークにおいてインプレッションを確認している：

• アルメニア
• オーストラリア
• アゼルバイジャン
• ブータン
• ブラジル
• チェコ
• デンマーク
• インドネシア
• イスラエル
• イタリア
• コソボ
• リビア
• マレーシア
• メキシコ
• モンテネグロ
• ノルウェー
• パキスタン
• ロシア
• ソマリア
• スウェーデン
• タイ
• アラブ首長国連邦
• アメリカ合衆国（アメリカ領サモア）
• ウルグアイ

私たちが確認したインプレッションは、アルメニア、インドネシア、メキシコの選挙監視機関のネットワーク上にもあった。

チップ・半導体：研究から製造まで

設計、メモリ、チップ開発、製造に至る一連のプロセスを網羅する先端半導体産業の間には、何らかの関連性があるらしいことも判明した。私たちが確認したインプレッション数では、最も多かったのはインテルのネットワークであり、NVIDIA、サンディスク、テキサス・インスツルメンツ、ブロードコム、マイクロン・テクノロジー、ARMのネットワークでも確認された。また、IMECなど、この分野の多数の研究機関も特定した。さらに、アップル、マイクロソフト、モトローラを含む米国の大手ハイテク企業のネットワーク内でもインプレッションを確認した。

さらに、レイセオン（米国）やElbitシステムズLTD（イスラエル）といった防衛分野のテクノロジー企業、およびウェスティングハウス・エレクトリック・カンパニー（米国）を含む原子力分野の企業においてもインプレッションを特定した。

世界のメディア組織

Al Jazeeraに対するゼロクリック攻撃を特定したことを受け、メディア組織のネットワーク内におけるインプレッションの入札記録を精査した。私たちが見つけた事例は多かった。多くの場合、これには特定の国における最大手のメディア組織に加え、公共放送局やメディアコングロマリットも含まれていた。対象国（機関数）は以下の通りだ：

• オーストラリア：3
• デンマーク：3
• フランス：1
• メキシコ：2
• イスラエル：3
• イタリア：2
• ノルウェー：2
• スウェーデン：3

また、国際的なメディアサービスのネットワーク内でもインプレッションを特定した。これらの事例に関する調査は現在も進行中だ。

デジタル広告のサプライチェーン：危険なほど脆弱

私たち分析により、Discover-Techが積極的に悪用した広告エコシステムにおいて、デューデリジェンス（適切な審査）が危険なほど欠如していることが明らかになった。Discover-Techは、大規模なプロファイリングや金銭目的のスパイウェアによるハッキングを支援しているにもかかわらず、Googleや広告業界団体であるIAB Europeが管理する「認定」および「承認」された広告ベンダーのリストに複数回掲載されていた。

「認定」された企業が、正当な活動の兆候を一切見せることなく、何年にもわたり数百万人のユーザーを標的にできたという事実は、その性質上、モバイルデバイスやウェブブラウザを利用するほぼすべての個人に極めて侵襲的な方法で関与するこの分野における、危険なほど不十分な管理体制を浮き彫りにしている。

本調査の結果、GoogleとIAB EuropeはDiscover-Techを広告ベンダーリストから削除した。GoogleとBeeswaxは、同社に対する広告システムへのアクセス権を停止した。

本報告書で詳述されているAdFectionによる攻撃およびスパイ活動は、数十カ国の数百万人に影響を及ぼしている。既存の法律や業界による自主規制では、これらを摘発・防止できなかった。当報告書 は、 規制当局、セキュリティ担当者、および広告業界に対し、AdFectionやADINT型のスパイ活動を阻止する方法に関する指針を提供している。

https://citizenlab.ca/research/exposing-adfection-executive-summary