Ordinary Online Ads Can Silently Plant Spyware on Devices, Researchers Warn

A routine online advertisement promoting a mobile game or telecoms service can now unmask a web user and silently infect their device with commercial spyware in seconds—without requiring a single click. According to findings published by Citizen Lab, a digital investigations unit at the University of Toronto, an Israeli advertising firm called Discover-Tech has weaponized standard digital ad networks to facilitate surreptitious surveillance against selected individuals.

モバイルゲームや通信サービスを宣伝する日常的なオンライン広告によって、ウェブ利用者の素性を特定し、クリックを一度も必要とせず、わずか数秒でその端末を商用スパイウェアに密かに感染させることが可能になっている。トロント大学のデジタル調査組織であるシチズン・ラボ（Citizen Lab）が発表した調査結果によると、イスラエルの広告会社ディスカバーテック（Discover-Tech）が標準的なデジタル広告ネットワークを兵器化し、特定の個人に対する秘密裏の監視を容易にしていたという。

without requiring a single click= ユーザーの操作やクリックを一切必要とせずにマルウェアが侵入する「ゼロクリック攻撃」を表す表現。facilitate surreptitious surveillance against= 特定の対象に対する秘密の監視や盗聴を容易にするという意味の格式高い表現。

The researchers revealed that Discover-Tech operates a platform known as Controlium, which allows clients to mass-profile and deanonymize internet traffic. When a targeted user encounters a seemingly benign advertisement, the platform harvests their identity and IP address, enabling partnered mercenary spyware vendors to deliver malicious payloads directly to the hardware. Citizen Lab reported that dozens of devices belonging to staff at Qatari broadcaster Al Jazeera were compromised using this technique, which allows third-party spyware to extract messages, record phone calls, and secretly activate microphones.

研究者らによると、ディスカバーテック社は「コントロリウム（Controlium）」と呼ばれるプラットフォームを運用しており、これにより顧客はインターネットトラフィックの大規模なプロファイリングと非匿名化を行えるという。標的となったユーザーが一見無害な広告を目にすると、同プラットフォームはその身元とIPアドレスを収集し、提携する傭兵的スパイウェアベンダーがハードウェアに直接悪意あるペイロードを配信できるようにする。シチズン・ラボの報告によると、カタールの放送局アルジャジーラのスタッフが所有する数十台の端末がこの手法で侵害されており、第三者のスパイウェアによってメッセージの抽出や通話の録音、マイクの秘密起動が行われる状態になっていた。

mass-profile and deanonymize= 大量のトラフィックデータを分析して利用者の素性を特定（非匿名化）することを意味する技術用語。enabling partnered mercenary spyware vendors to deliver= 「enabling 目的語 to 動詞」の構文で、広告追跡が商業ハッキング請負業者による攻撃を可能にする因果関係を示す。

The scope of the operation extends far beyond individual newsrooms. Since 2024, millions of Discover-Tech’s advertisements have circulated globally, reaching users in countries including Brazil, Mexico, Yemen, and Czechia. Complementary research by cybersecurity group Confiant revealed that these ads also surfaced on internal networks utilized by the United Nations, NATO, the International Criminal Court, and various government agencies across Europe and the United States.

この活動の規模は、個々の報道機関にとどまらない。2024年以降、ディスカバーテック社の広告は世界中で数百万件流通しており、ブラジル、メキシコ、イエメン、チェコなどの国々のユーザーに届いている。サイバーセキュリティ組織コンフィアント（Confiant）による補完的な調査では、これらの広告が国連、NATO、国際刑事裁判所、および欧米各地の様々な政府機関で利用されている内部ネットワーク上にも出現していたことが明らかになった。

extends far beyond= 影響や活動の規模が、すでに挙げた一握りの対象をはるかに超えて広がっていることを示す表現。Complementary research by= 先行調査の結論を補強・拡大する別の調査機関の成果を紹介する報道表現。

The revelation provides the first concrete technical proof that the automated, split-second ad auctions underpinning the modern internet have been harnessed for targeted espionage. Describing the opaque ad-tech ecosystem as a systemic security threat to civil society and governments alike, Citizen Lab researchers urged international regulators and cybersecurity agencies to urgently step in and address the structural risks that permit advertising infrastructure to be repurposed for state-level surveillance.

この事実の判明により、現代のインターネットを支える瞬時の自動広告入札が、標的型スパイ活動に利用されているという初の具体的な技術的証拠がもたらされた。シチズン・ラボの研究者らは、不透明なアドテクのエコシステムが市民社会と政府の双方にとって構造的な安全保障上の脅威であると指摘し、広告インフラが国家レベルの監視へと転用されるのを許している構造的リスクに対処するため、国際的な規制当局やサイバーセキュリティ機関が迅速に介入するよう強く求めた。

split-second ad auctions underpinning= 瞬時に行われる超高速な広告入札が、現代のインターネットの基盤を支えていることを示す表現。urgently step in and address= 規制機関に対し、即座かつ決定的な介入と事態の収拾を求める動詞の組み合わせ表現。

Ordinary Online Ads Can Silently Plant Spyware on Devices, Researchers Warn

学習ノート

表現パターン

語彙

言語メモ

練習

パターン	意味
without requiring a single click	ユーザーの操作やクリックを一切必要とせずにマルウェアが侵入する「ゼロクリック攻撃」を表す表現。
facilitate surreptitious surveillance against	特定の対象に対する秘密の監視や盗聴を容易にするという意味の格式高い表現。
mass-profile and deanonymize	大量のトラフィックデータを分析して利用者の素性を特定（非匿名化）することを意味する技術用語。
enabling partnered mercenary spyware vendors to deliver	「enabling 目的語 to 動詞」の構文で、広告追跡が商業ハッキング請負業者による攻撃を可能にする因果関係を示す。
extends far beyond	影響や活動の規模が、すでに挙げた一握りの対象をはるかに超えて広がっていることを示す表現。
Complementary research by	先行調査の結論を補強・拡大する別の調査機関の成果を紹介する報道表現。
split-second ad auctions underpinning	瞬時に行われる超高速な広告入札が、現代のインターネットの基盤を支えていることを示す表現。
urgently step in and address	規制機関に対し、即座かつ決定的な介入と事態の収拾を求める動詞の組み合わせ表現。

語	意味
weaponized	（物・手段などを）武器として使う。また、武器として利用できるようにする。
surreptitious	人に気づかれないように、こっそり行われる。秘密裏の。
deanonymize	匿名化された情報や通信などから、個人や利用者の身元を特定する。
benign	病気などが悪性でなく、健康に害を及ぼしたり、再発・進行したりしない
underpinning	（建物などを）下から支える；（構造物）の基礎を補強する
espionage	軍事上・政治上の機密を得るために、組織的にスパイを使って情報を集めること。諜報活動。スパイ活動。
opaque	不透明な；内容や経過などが外部から分からない