「怪しい広告は押さない」と伝えた。その先の管理は決まっていますか
業務用スマホで、配送先の地図や取引先のサイトを見る。社員へ「怪しい広告を押さないで」と伝えていても、広告が表示される経路や端末の設定を、会社でどこまで管理しているかは別の確認です。
2026年10月15日、トロント大学のCitizen Labは、広告を経由し、利用者のクリック操作を要しないスパイウェア感染の技術的証拠を公表しました。研究ではこの手法をAdFectionと呼んでいます。企業は、注意喚起と合わせて端末・通信・設定・例外の管理を見直す必要があります。
本稿では、報告された事実と、会社で検討する運用を分けます。自社や日本の全業務端末が感染したという説明ではありません。顧客の実例や攻撃手順を再現する記事でもありません。
対象
会社支給・私物、端末・アプリ・管理担当
設定
広告・追跡の制限と更新の実施状況
例外
必要な業務、承認者、期限と代替方法
相談
異常の報告先と専門調査につなぐ条件
SHINJIDAI独自作成。実際の条件・役割に合わせて決める設計例です。
研究で確認されたことと、広告の表示記録を分ける
Citizen Labは、標的を絞った広告経由でAl Jazeeraの端末がスパイウェアに感染したとする技術的証拠を示しました。広告に関係する通信から別のコードが渡されるなど、広告の画像や文面だけでは判断できない経路を報告しています。
同じ資料は、広告の表示記録だけでは、個別端末が標的になったことや感染を確認できないとも明記しています。広告が配信されたネットワークの一覧を、感染企業の一覧へ読み替えないことが必要です。
報告の公開は10月15日ですが、そこで分析した攻撃・通信・広告記録はそれ以前のものを含みます。今日始まった一斉感染という意味ではありません。特定の業務端末への該当性と侵害の有無は、技術担当や専門の調査先が別に判断します。
広告の表示・通信記録
調査の手掛かり。これだけで感染とは言えない
標的化・攻撃の証拠
何を根拠に、どこまで確認したかを読む
端末の感染の確認
専門的な調査結果と対象・時点を確認する
SHINJIDAI独自作成。実際の条件・役割に合わせて決める設計例です。
端末と通信経路で、広告・追跡をどこまで制限できるか確認する
Citizen Labは第11節で、可能な範囲で組織の通信の出入口と業務端末の広告・追跡を制限すること、業務端末の広告識別子の利用を制限することなどを勧めています。広告識別子は、広告の配信などで端末を識別するために使われる情報です。
自社では、端末をまとめて管理する仕組み、ブラウザの管理設定、既存の通信対策で何ができるかを技術担当・保守先へ確認します。設定画面で有効になっていても、私物端末、社外の携帯回線、別のアプリでは同じ制限が働くとは限りません。適用範囲と未確認の範囲を残します。
OS・ブラウザ・業務アプリの更新状況も確認します。更新や広告識別子の設定一つで、今回の攻撃を完全に防げるという保証はありません。高い標的リスクや侵害の疑いがある場合は、一般的な設定案だけで自己判断せず、専門担当へ相談します。
端末・ブラウザ
管理対象・設定・更新状況・確認した担当
通信の出入口
会社内外の経路、制限が働く範囲
アプリ
広告や外部通信の有無、提供元への確認
残る範囲
私物・未管理・適用不明と次の確認先
SHINJIDAI独自作成。実際の条件・役割に合わせて決める設計例です。
必要な業務を止めないために、例外の責任者と期限を持つ
広告や追跡の制限を検討するときは、地図、認証、取引先の画面、現場の報告など、会社が続ける必要のある仕事を先に並べます。自社サイトの広告配信を管理する仕事と、社員が業務端末で閲覧する場面も分けて考えます。
架空の検討例として、現場報告アプリAPP-07の一部画面が制限の試行中に使えなくなったとします。原因が広告とは限らないため、技術担当は止まる操作と設定の関係を確認します。業務責任者は代替手順と許容できる停止時間を決め、必要な例外は端末・画面・期間を限定して承認します。
例外を作った後は、期限、見直す担当、提供元の対応状況、保護を戻す確認を追います。全員の制限を無期限に解除する前提にせず、使えることと残るリスクの両方を責任者が判断します。
SHINJIDAI独自作成。説明用の架空例で、実績や製品画面ではありません。
既存の管理で足りるか、小さな対象で試す
まず一つの端末グループと、実際に使う業務アプリを選びます。機器台帳、端末管理、社内の申請システムで、対象・設定・確認結果・例外を対応させられるなら、その設定と運用の整理から始めます。
台帳と保守会社の報告が分かれ、期限切れや未適用が見えない場合は、既存の一覧やCSVの受け渡し、通知の連携を比較します。開発は、確認や例外を既存機能で追えない部分が残った場合の選択肢です。攻撃の再現や未承認の診断を、導入の確認方法にはしません。
自社は利用する仕事・管理権限・例外承認者を示し、技術担当・保守先は適用条件と設定の確認を担います。費用は、対象の種類、既存管理との連携、閲覧権限、履歴と期限、移行・保守の範囲で変わります。試行中は旧経路と新経路の受付が重なっても、どちらを承認の正本にするかを一つに決めます。
- 対象の端末・回線・アプリと未管理の範囲を追える
- 設定した記録と実際の適用確認を分ける
- 必要な業務の操作を、許可された方法で確認する
- 例外の期限・承認・終了後の確認を追える
- 異常時の連絡先と、専門調査へ渡す条件を確認する
- 管理担当交代・設定変更・連携停止の保守範囲を合意する
SHINJIDAIには、対象と例外の確認が分かれる場面から相談できます
SHINJIDAIは課題整理・提案から設計・開発・導入まで伴走しています。このテーマでは、端末台帳、設定の確認、現場の利用、例外の承認がどこで分かれるかを整理し、既存管理の設定・運用・連携で補えるか比較します。
合意した範囲で、対象の対応、確認待ちと期限の一覧、例外申請・承認・終了確認、既存の管理情報の受け渡し等を実装します。担当者が業務を続けながら未確認を追えるか、通常の操作と例外で検証します。特定の攻撃の感染診断、緊急対応、完全防御はこの説明で約束するものではなく、対応可否と専門担当の範囲を別に確認します。
最初は、端末管理の持ち方と、止められない業務、現在の保守先の概要から話せます。対象と役割を整理し、何を先に調べ、どの業務で試すかを次に決めます。機密情報や社員の閲覧履歴を、最初の相談で送る必要はありません。
業務の課題整理から、設計・開発・導入まで
業務端末の対象と、例外の管理を整理する
SHINJIDAIにご相談ください。
- 注意喚起後の対象・設定・確認が別々になっている
- 必要な現場アプリの例外と期限を追いたい
- 既存の端末台帳や申請の仕組みを活かしたい
課題の整理から伴走端末・設定・業務・承認の情報がどこで分かれるかを整理します。運用・既存設定・連携・開発を比較し、合意範囲で対象の対応、確認待ち・期限、例外の受付と終了確認を実装。担当者が未確認を追いながら業務を続けられるか検証します。
端末管理と止められない業務の概要から話せます。調査・実装・検証・保守の範囲と費用は着手前に合意します。
侵害の疑いは既存の事故対応・専門調査へ。感染診断・緊急対応・完全防御を約束する説明ではなく、対応範囲を別に確認します。
ID・パスワードや顧客データは、フォームに記載しないでください。
課題整理から導入までの進め方を見る出典
確認日：2026年10月16日。Citizen Lab Report 195とExecutive Summary（10月15日公表）の主要発見、攻撃の説明、広告表示と感染の区別、第11節の防御側への勧告を参照しました。Confiantの同時期の一次調査も確認しています。個別端末の感染を本稿で判定していません。会社での管理範囲・例外・試行とAPP-07はSHINJIDAI独自の設計案・架空例です。原図・調査画面・ロゴ・報道写真は転載していません。
よくある質問
広告をクリックしていなければ、この攻撃の対象外ですか？
今回の研究では、利用者のクリックを要しない広告経由の感染が示されました。クリックしないという注意だけで完了にはできません。ただし、広告を見た全員が感染した、という報告ではありません。
広告が表示された記録があれば、感染と判断できますか？
判断できません。Citizen Labも広告の表示記録だけでは標的化や感染を確認できないと明示しています。実際の調査は専門担当が端末・通信等の証拠を確認する工程です。
OSとブラウザを更新すれば、AdFectionは完全に防げますか？
更新は基本の管理ですが、今回の攻撃すべてへの防御を本稿で保証するものではありません。公式情報を技術担当が確認し、広告・追跡の制限、端末管理、業務の例外も合わせて見直します。
業務で必要な画面が、広告の制限で使えなくなったらどうしますか？
端末・アプリ・止まる業務・設定・代替方法を技術担当と確認します。全端末の保護を外す前に、必要最小限の例外、承認者、期限、再確認を決めます。実際の変更は社内の承認経路で行います。
社員の私物スマホも同じように管理すべきですか？
会社支給端末と私物は、管理できる範囲と本人への説明が異なります。私物の通信やデータを無断で収集せず、利用規程と合意、代替の業務端末を含めて担当者が検討します。
SHINJIDAIへの相談では、何を最初に話すとよいですか？
端末の配布・管理方法、使えなくなると困るアプリ、現在の保守先の概要から、台帳・確認・例外申請の不足を整理します。感染の疑いは既存の事故対応・専門調査の経路へつなぎ、情報整理や仕組みの実装とは分けて対応範囲を確認します。