【衝撃】広告を見るだけでスマホ感染！？クリック不要の新型スパイウェア「AdFection」の正体と今すぐできる5つの対策
✍️ 執筆：テック＆セキュリティ解説編集部
「怪しいリンクはクリックしない」「見覚えのない添付ファイルは開かない」――。私たちがこれまで信じて守ってきたスマホの安全ルールが、根底から覆される衝撃的なニュースが飛び込んできました。
2026年10月15日、カナダ・トロント大学の研究機関「Citizen Lab（シチズン・ラボ）」と広告セキュリティ企業「Confiant（コンフィアント）」が、画面に表示されたオンライン広告を一切クリックしなくても、スマホやPCがスパイウェアに感染する攻撃手法「AdFection（アドフェクション）」を世界で初めて技術的に確認したと発表したのです。
朝の通勤電車でニュースサイトを開いたときや、お気に入りの無料スマホゲームで遊んでいるとき、画面の端や全画面にバナー広告が出てきますよね。「間違えて押さないように気をつけよう」とスワイプしてやり過ごしていたあの広告が、実は「画面に読み込まれた瞬間」に裏でこっそり動いているとしたら……？ そう思うと、背筋がゾッとする方も多いのではないでしょうか。
「じゃあ、広告を見ただけで私のスマホもすでに感染しているの！？」と不安になった方、まずは深呼吸してください。結論から言うと、「広告が表示された人全員が感染するわけではありません」。しかし、私たちのスマホ情報が知らず知らずのうちに追跡・収集されているリスクは誰にでもあります。
この記事では、報道の見出しだけでは分かりにくい「クリックなしでスマホ感染する仕組み」を直感的にわかる最強図解で紐解き、今日から3分で実践できるスマホ防衛術までを徹底解説します！
1. 研究者が報告した「AdFection」事件の全貌とは？
今回の調査報告で明らかになったのは、単なる「ウイルス入りの怪しい詐欺広告」ではありません。私たちが普段見ている「正規のインターネット広告配信システム」そのものが、高度な商用スパイウェアの運び屋として悪用されていたという事実です。
調査の中心となったのは、イスラエルに拠点を置く広告関連企業「Discover-Tech（ディスカバーテック）」です。同社は2020年以降、Googleや欧州の広告業界団体（IAB Europe）から「承認ベンダー」として正式に登録されていました。
しかしその裏で、同社は「Controlium（コントロリウム）」と呼ばれる管理システムを使い、スパイウェア開発企業「Candiru（キャンディル／現Integrity Labs）」の高度な監視プログラムを特定の標的に送り込んでいたことが判明しました。実際に2024年から2025年にかけて、国際報道機関「アルジャジーラ」の関係者らの端末少なくとも45台がこの手口でスパイウェアに感染していたことが確認されています。
2. 【完全図解】なぜクリックしなくてもスマホが感染するのか？
「広告に触ってもいないのに、どうやってスマホに侵入するの？」という最大の疑問を解消するために、今回の攻撃「AdFection」の仕組みを一目でわかる図解にまとめました。
ワンクリック型
ゼロクリック型
あなたがページを開いた瞬間、裏側で「この人にどんな広告を出すか」を決める自動オークション（リアルタイム入札＝RTB）がミリ秒単位で行われます。この時、端末情報やIPアドレスが広告業者へ流れます。
攻撃側のシステムがオークションで広告枠を買い取り、あなたの画面（または見えないバックグラウンド）に一見ごく普通の広告を読み込ませます。
クリックしなくても、広告が表示された時点で内部の小さなプログラム（JavaScript）が動き出し、あなたの機種、OSのバージョン、場所、識別IDをサーバーへ送信します。
ここが最も狡猾なポイントです。サーバー側で「このスマホは狙っているターゲットか？」を瞬時に判定し、対応を真っ二つに分けます。
無害な普通の広告だけを表示して終了。セキュリティ調査員の検査もこれですり抜けます（ただし閲覧履歴などのデータは収集されます）。
次の瞬間、スパイウェアへつなげるための「悪意ある攻撃コード」を追加でこっそり送り込みます。
本来、広告のプログラムはスマホの奥深く（連絡先やメッセージ）には触れられません。しかし、OSやブラウザが未更新で「保安上の穴（脆弱性）」が空いている場合、その壁を破壊して商用スパイウェア（Candiru製など）を勝手にインストールします。
※2026年3月〜6月の4か月間の記録（Citizen Lab分析）
3. 政府機関や大手ハイテク企業にも広告が到達していた！
図解の「段階③」にある通り、直接スパイウェアを撃ち込まれなくても、「誰が・どこで・どんなスマホを使っているか」という大規模なプロファイリング（情報収集）が行われていた点も見逃せません。
Citizen LabとConfiantの調査によると、Discover-Techの広告は2026年3月から6月までのわずか4か月間で、12万以上のウェブサイトと7万以上のモバイルアプリに配信されていました。
さらに驚くべきことに、これらの広告は以下の重要な機関や企業のネットワーク内にも表示されていたことが確認されています。
- 国際機関・防衛組織：国連（UN）、NATO、国際原子力機関（IAEA）、国際刑事裁判所（ICC）、欧州委員会
- 各国の政府機関：米国防総省、イタリア国防省・下院・中央銀行など十数カ国の政府関連ネットワーク
- 世界的な半導体・テック企業：NVIDIA（エヌビディア）、Broadcom、Micron、SanDiskなどの社内ネットワーク
※研究者は「これらの政府機関や企業の端末がスパイウェアに感染した証拠は確認されていない」と明記していますが、広告が読み込まれるだけで「どの組織のネットワーク内にどんな端末が存在するか」を外部からリアルタイムで地図のように把握できてしまう構造的な危険性を強く警告しています。
この報告を受け、GoogleはただちにDiscover-Techの広告プラットフォームへのアクセスを全面停止（ブロック）し、欧州の業界団体IAB Europeも同社のベンダー資格を停止する緊急措置を取りました。
4. 私たちが今すぐやるべき「スマホ防衛5つの対策」
「ジャーナリストや政府要人を狙った商用スパイウェアなら、一般人の私は何もしなくて大丈夫？」と思うかもしれません。
しかし、今回の事件は「オンライン広告の仕組みを使えば、クリックなしで攻撃コードを届けられる」ことを世界中のハッカーに証明してしまいました。今後、同様の手法がネットバンキングのパスワードや個人の写真を狙う一般向けのサイバー犯罪に模倣されるリスクは十分にあります。また、過度なプライバシー追跡を防ぐためにも、以下の5つの対策を今日から実践しておきましょう！
OSとブラウザを「常に最新バージョン」に更新する（最重要！）
ゼロクリック攻撃が成功する最大の理由は、スマホのOS（iOS / Android）やブラウザ（Safari / Chrome）に残っている「脆弱性（プログラムの弱点）」を突かれるからです。広告が表示されても、スマホ側の壁が頑丈であればスパイウェアは侵入できません。「設定」から自動アップデートを必ずオンにし、更新通知が来たらその日のうちにアップデートしましょう。
スマホの「広告トラッキング（追跡）」をオフ＆IDをリセットする
攻撃者は「広告識別子（広告ID）」を手がかりに、あなたが誰なのかを追跡・特定します。
・iPhoneの場合：「設定」＞「プライバシーとセキュリティ」＞「トラッキング」から、「Appからのトラッキング要求を許可」をオフにします。
・Androidの場合：「設定」＞「セキュリティとプライバシー」＞「プライバシー」＞「広告」から、「広告IDを削除」またはリセットを実行しましょう。
信頼できる「広告ブロッカー」やプライバシー重視ブラウザを活用する
Citizen Labの上級研究員ビル・マルチャック氏も、最も直接的な防御策として「広告のブロック」を挙げています。SafariやChromeに信頼できるコンテンツブロッカー（AdGuardなど）を導入するか、最初から広告・トラッカー遮断機能がついているブラウザ（BraveやFirefoxの厳格モードなど）を使うことで、悪質な広告スクリプトの読み込み自体を根元から防げます。
週に1回はスマホを「再起動」する習慣をつける
近年の高度なスパイウェアは、証拠を残さないためにスマホの「一時メモリ（RAM）」の上だけに潜伏するケースが多くあります。スマホの電源を一度切って再起動するだけで、メモリ上に居座る不正プログラムを消去できる場合があるため、セキュリティ機関（NSAなど）も定期的な再起動を強く推奨しています。
重要なデータを扱う人は「ロックダウンモード」等を検討
企業の機密情報を扱う方やメディア関係者など、標的型攻撃のリスクが少しでもある方は、iPhoneの「ロックダウンモード」やAndroidの「高度な保護機能プログラム」を有効にしましょう。ウェブ閲覧時の一部の複雑なスクリプト動作が制限され、ゼロクリック攻撃をほぼ無力化できます。
📌 この記事のまとめ
- 2026年10月15日、広告を見るだけで感染するゼロクリック攻撃「AdFection」がCitizen Labにより初報告された。
- イスラエルの広告企業Discover-Techの仕組みが悪用され、アルジャジーラの端末など少なくとも45台が実際にスパイウェアに感染。
- 約37.7億回の入札・約4.42億回の表示は「感染数」ではなく「広告の配信・追跡規模」なので過度なパニックは不要！
- ただし、自分の端末情報を抜かれない＆脆弱性を突かれないために「OSの即時更新」「広告追跡オフ」「広告ブロック」が最強の盾になる。
「クリックしなければ大丈夫」という時代は終わりつつあります。だからこそ、この記事を読み終わったまさに今、あなたのスマホの「設定」アプリを開いて、OSのアップデートとプライバシー設定を1分だけ見直してみてくださいね！
コメント