侵入型広告：従来とは異なるサイバー監視のアタックサーフェス

リアルタイムビディング（RTB）は、デバイスで生じる広告インプレッションをミリ秒単位で競売にかけるプロセスです。この明確に定義された仕組みによって、コンピュータやモバイル端末に日々表示される広告が決まります。

競売を実施するため、広告枠をめぐって競うすべての入札者にデバイスの追加情報が提供されます。そこには、デバイス所有者が直接やり取りすることのない入札者も含まれます。提供される情報には、デバイスの位置情報、IPアドレス、自律システム番号（ASN）、種類、モデル、画面サイズなどのデバイス識別情報が含まれる場合があります。広告ID、クリック追跡、位置履歴と組み合わせれば、こうした情報からユーザの詳細な行動プロファイルを構築できます。その後、プロファイリングされたユーザにターゲティング広告を配信することも可能です。

RTBプロセスが完了し、落札者が決まると、その入札者がクリエイティブ素材を配信します。通常は画像ファイルですが、加工された素材からJavaScriptを配信し、詳細なプロファイリングやユーザ監視に向けたデータ収集など、別の処理を実行できる場合もあります。たとえば、次のような処理です。

• 位置情報を利用したユーザの移動プロファイリング
• ユーザエージェント、言語、通信事業者、デバイスベンダーの情報を利用したユーザのプロファイリング
• 広告を配信するWebサイトやアプリで収集した関心情報に基づくユーザのプロファイリング

デジタル広告の悪用は目新しいものではありません。不正広告は少なくとも20年前から脅威となっています。その間、広告技術のサプライサイドを文書化して透明性を確保するなど、オンライン広告に関連するさまざまな不正行為への対策を進めるため、広告エコシステムも発展してきました。

一方、デマンドサイドには依然として悪用の余地があります。本リサーチでは、入札者が広告情報を利用してインテリジェンスを収集したり、攻撃キルチェーンの初期段階を最適化したりする方法を明らかにしています。具体的には、標的に関する情報の収集、標的候補のプロファイリング、さらには監視価値が高いとみられる少数のデバイスを絞り込み、特定のコンテンツを配信しようとする試みが含まれます。

本リサーチでは、悪意のある監視に利用されている可能性がある一連の活動を記録しました。TrendAI™ Researchが「SHADOW-EARTH-79」として追跡している広告技術関連組織について、その活動と支援インフラを分析しています。このグループは、サイバー作戦の一環としてデジタルプラットフォームに広告を掲載し、RTBプロセスで利用可能になる豊富な情報を悪用していることが確認されています。

データと調査方法

以下の各セクションで示す調査結果は、TrendAI™のテレメトリで取得した広告ネットワークログに基づいています。他のデマンドサイドプラットフォーム（DSP）のデータ分析には技術的な制約があったため、分析対象は単一のDSPから得られたデータセットに限られます。それでも、得られた知見は注目に値します。

広告の「ビッドストリーム」に関する情報を得るため、リアルタイムビディングの競売中に入札リクエストを通過する情報を分析しました。各入札リクエストのURLを解析し、分析対象となる情報の中から、入札者の識別子、宛先IPアドレス、位置情報に基づく国、送信元ネットワーク（ASN）などを抽出しました。

その後、イベントを国別およびASN別に集計しました。また、SpaceX Starlinkのアドレス空間（AS14593、「SPACEX-STARLINK」）から発生したトラフィックの一部も分析しました。

本リサーチにおける「リフト」とは、特定のトラフィック区分に占めるバイヤーの割合を、トラフィック全体に占める同バイヤーの割合で割った値です。リフトが1.0を上回る場合、そのバイヤーは全体的な取引規模から予測される頻度を超えて、その区分に入札していることを示します。

なお、本リサーチの分析と観測結果は、TrendAI™が保有するテレメトリデータと可視性の範囲に限られます。そのため、実際のキャンペーンの規模と範囲は、今回把握できたものより大幅に広い可能性があります。表1に、分析したデータ量を示します。

標的となった国（全トラフィック）

TrendAI™の分析では、広告データが競売にかけられた49カ国で、SHADOW-EARTH-79の落札件数が最多でした。複数の国では、通常の競争的な広告購入では考えにくいほど、入札活動全体に占める同グループの割合が高くなっていました。

表2は、SHADOW-EARTH-79が最大のバイヤーとなっている国を、各国の全入札イベントに占める同グループの割合が高い順に示したものです。

特にハンガリー、イスラエル、エジプト、アゼルバイジャン、ベネズエラでは、SHADOW-EARTH-79の入札シェアが72～91%に達し、ほぼ独占状態となっています。タイ、マレーシア、サウジアラビア、アラブ首長国連邦でも高い割合を占めています。

Starlink（衛星インターネット）を対象とした活動

Starlinkトラフィック全体における過度な集中

観測したStarlinkのIPアドレス空間のトラフィックでは、SHADOW-EARTH-79は落札件数で2番目に多い入札者でした。しかし、同グループの広告インプレッション購入戦略に関する統計と集中度を詳しく見ると、全体的な取引規模に比べて、Starlinkアドレスの広告インプレッション購入へ明らかに偏っていることが分かります。

表3は、Starlinkイベントが500件以上あるバイヤーをリフト順に並べたものです。数値を把握しやすくするため、次の項目を算出しました。

• 配信された広告の総数
• 配信された広告総数に対するStarlinkのIP範囲向け広告数（Starlink広告全体に占める割合）
• ベースラインシェア（配信された全広告に占める当該バイヤーの割合）

SHADOW-EARTH-79がStarlinkトラフィックで落札件数最多となった国

Starlinkトラフィックでは、SHADOW-EARTH-79が105カ国で落札者となっています。このうち、カメルーン、シリア、スーダン、ミャンマー、リビアでは、Starlinkの利用が公式に禁止されているか、規制によって制限されています。これらの国のIPアドレスは、Starlink公式のジオフィードデータベースとの照合を含む複数の手法で位置を特定しました。ただし、IPジオロケーションには常に一定の誤差が伴います。

独自の位置情報データとStarlinkのジオフィードデータベースを比較したところ、不一致は2点のみでした。第一に、TrendAI™がミャンマーと特定したIP範囲は、Starlinkのジオフィードでは「カナダ」とされています。第二に、TrendAI™がスーダンと特定したIP範囲は、Starlinkのジオフィードではニジェールに属しています。それ以外の位置情報は正確とみられます。

もう1つ注目すべき点として、広告が配信されたASNを見ると、一部の国では政府系ネットワークに属するASNへ明らかに偏っていました。

表4は、2024年6月から2026年6月までのテレメトリ分析結果を示しています。

制裁対象国および紛争地域を狙った活動

制裁対象国や紛争地域では、欧米の正規広告に対する需要が実質的に存在しないため、こうした地域での活動は注意深く監視すべきです。本リサーチでは、需要がないにもかかわらずSHADOW-EARTH-79がこれらの市場に入札し、しかも多くの場合に最大のバイヤーとなっていることが分かりました。

表5は、この分類から選んだ地域におけるSHADOW-EARTH-79の入札者順位を示しています。

バックエンドインフラと技術分析

TrendAI™ Researchは、回収したコードとインフラ関連のアーティファクトをAI支援型分析にかけるという、比較的単純ながら効果的な手法を用いて、SHADOW-EARTH-79のバックエンドシステムを特定・再構築しました。多くのWebアプリケーション開発者はReact、Vue、Angularなどのフレームワークを使用し、アプリケーション全体と関連ファイルを1つのバンドルにまとめています。ユーザがプラットフォームにログインしているかどうかにかかわらず、このバンドルは公開状態のassetsフォルダから取得できる場合があります。

これらのシステムから配信されるJavaScriptを調べることで、認証に成功したユーザの画面に何が表示されるかを把握できます。手動スクリプトインジェクション、匿名化解除などのインターフェース機能は、監視とインテリジェンス収集を目的に設計されたツールの特徴と一致します。

この「顧客向け」フロントエンドの設計全体を踏まえると、単なる広告管理プラットフォームではなく、「監視」と「インテリジェンス収集」のためのプラットフォームとして設計された可能性が高いと考えられます。

収集した証拠から、中～高の確度で、SHADOW-EARTH-79の広告活動は商業広告事業ではなく、ターゲティングと追跡のためのインフラとして機能していると判断できます。

不自然な入札行動、制裁対象国や紛争地域での著しい占有率、Starlinkのアドレス空間に対する顕著な過剰入札は、機微な地域の特定オーディエンスへ到達する意図を裏付けています。

推奨事項

広告業界向け

• 本リサーチで特定したものと同様の入札傾向を示す広告主の活動を調査し、商業広告エコシステムの正当な参加者であるかを評価してください。

政府、企業、リスクの高い個人向け

• 広告トラフィックが必要な場合でも、信頼できるものだけを許可してください。あるいは、機密性の高い場所や、標的となる可能性が高い個人のデバイスでは広告トラフィックをフィルタリングしてください。
• 紛争地域や制裁対象国で活動する職員、または移動パターンが機微情報となる職務の担当者には、広告IDのリセット、広告のパーソナライズの無効化、携行するデバイスでの広告付きアプリの利用制限が有効です。
• iPhoneの「ロックダウンモード」など、一部のモバイルデバイスには、第三者による悪意のあるペイロードの配信と実行を難しくする機能があります。こうしたデバイスモードを有効にすれば、監視活動の実行が困難になります。
• モバイルデバイス上のアプリケーションにアクセス権限を付与する際は、最小権限の原則を適用してください。アプリケーション自体に害がなくても、広告ネットワークを経由してダウンロードされる可能性がある悪意のあるコンテンツや、広告用ソフトウェア開発キット（SDK）がアプリケーションに組み込まれていることに起因するリスクがあります。無料アプリケーションの多くは、無償配布から収益を得る主な手段として、こうしたSDK連携を利用しています。第三者製アプリケーションから不要な権限を取り除けば、アプリの機能を妨げることなくリスクを低減できます。
• 広告ブロッカーの利用を検討してください。ただし、全面的に依存してはいけません。広告がユーザに表示されなくても、追跡イベント自体は発生している可能性があります。そのため、次の機能を備えた広告ブロッカーを選んでください。
  • Webトラフィックをインターセプトし、Webコンテンツから広告タグを除去できる
  • 広告付きアプリから広告バックエンドへの通信を遮断できる
  • 機微な追跡情報が広告ネットワークへ送信されることを包括的に防止できる
• 全体としての目標は、悪用する可能性のある入札者をすべて特定することに頼らず、露出を抑えてリスクを低減することです。SHADOW-EARTH-79など、疑わしいことが判明している運用者の広告配信インフラを特定できる場合は、該当するバックエンドやクラウドプロバイダーのエンドポイントへのトラフィックを遮断してください。SHADOW-EARTH-79のインフラに関するTrendAI™の追跡情報はTrendAI Vision One™で確認できます。信頼できる関係者には、業界内の確立された信頼関係に基づくコミュニティを通じて追加情報も提供しています。

参考記事：

Invasive Ads: The Unconventional Cyber Surveillance Attack Surface

By: TrendAI™ Research

翻訳：与那城 務（Platform Marketing, TrendAI™ Research）