マルバタイジング（Malvertising）とは？正規広告経由でマルウェアに感染する仕組み・被害例・対策をわかりやすく解説

セキュリティが強固なはずの大手ニュースサイトやまとめサイトを閲覧しただけで、マルウェアに感染したという報告が増えています。心当たりのない不審サイトには近づいていないのに、なぜ感染するのか。

その答えが「マルバタイジング（Malvertising）」にあります。攻撃者は正規の広告ネットワークに悪意のある広告を紛れ込ませ、ユーザーが信頼しているサイトを見ているだけで感染させる手口を使います。

この記事では、マルバタイジングの仕組み・被害の実態・現場で使える対策を、攻撃者の視点から掘り下げて解説します。「怪しいサイトを見なければ大丈夫」という思い込みを正すところから始めましょう。

マルバタイジングとは？

マルバタイジング（Malvertising）は「Malicious（悪意のある）」と「Advertising（広告）」を組み合わせた造語です。日本語では「悪意ある広告」「広告型マルウェア攻撃」などと呼ばれます。

核心は「広告ネットワーク経由の攻撃」という点にあります。攻撃者はGoogleなどの広告配信ネットワークに一見普通の広告を入稿し、表示された瞬間やクリック後にマルウェアを配布します。被害者は正規の有名サイトを見ているだけ、最悪の場合は広告を見ているだけ（クリックすら不要）で感染することがあります。

フィッシングとはここが違う

フィッシング詐欺がユーザーを「偽サイトに誘導する」のに対し、マルバタイジングは正規サイトの広告枠そのものを汚染します。ユーザーに不自然なリンクをクリックさせる必要がなく、だまされた感覚が生まれにくいのが厄介なところです。

攻撃の仕組み（敵を知る）

マルバタイジングがなぜ成立するのかを理解するには、広告配信の仕組みを知る必要があります。

1. 広告ネットワークの構造を突く

現代の広告配信はリアルタイム入札（RTB: Real-Time Bidding）と呼ばれる仕組みで動いています。ユーザーがページを開く0.1秒以内に広告主の入札が行われ、落札した広告が表示されます。このプロセスにはアドネットワーク・アドエクスチェンジ・DSP・SSPと複数の仲介業者が介在するため、最終的にどの広告主の素材が表示されるかを出版社側がすべて把握することは困難です。攻撃者はこの隙間を狙います。

2. 主な攻撃パターン

・ドライブバイダウンロード型: 広告が表示された瞬間、JavaScriptが実行されてエクスプロイトキットがブラウザやプラグインの脆弱性を探します。脆弱性が見つかれば、ユーザーの操作なしにマルウェアがダウンロード・実行されます。
・クリック後リダイレクト型: 一見正規に見える広告をクリックすると、途中で悪意のあるURLにリダイレクトされます。
・偽警告型: 「ウイルスに感染しています」と偽の警告を表示し、「駆除ツール」を装ったマルウェアをインストールさせます。
・ブランド名キーワード広告悪用型: 有名ソフトウェアやサービス名で検索広告を購入し、本物そっくりの偽サイトに誘導する手口も近年増加しています。

3. エクスプロイトキットとの連携

マルバタイジングで頻繁に使われるのがエクスプロイトキット（EK）です。Fallout EK、RIG EKなどが知られており、ブラウザ・Adobe Reader・古いJavaやFlashの脆弱性を自動スキャンして攻撃します。未パッチの環境がいかに危険か、この構造を見ると実感できます。

マルウェアの種類と仕組みについても理解しておくと、感染後の被害規模をイメージしやすくなります。

具体的な被害例

マルバタイジングは理論上の脅威ではなく、世界・国内で多くの被害が確認されています。

【事例1】大手メディアサイト経由の感染（海外の事例）

MSN・BBC・The New York Timesなど複数の大手メディアに悪意ある広告が混入し、Angler EKを通じてランサムウェアが配布された事例があります。日本国内でも複数のニュースサイトやポータルサイトが同様の被害を受けたと報告されています。

【事例2】検索広告を悪用したなりすまし攻撃（近年多発）

7-Zip・CCleaner・TeamViewerなど有名ソフトウェアの公式に見える広告をGoogle検索上に出稿し、クリックすると本物そっくりのサイトにリダイレクトしてマルウェアをダウンロードさせる手口が多発しています。広告には「スポンサー」と表示されますが、一見では本物のサイトとの区別が難しく、セキュリティ意識の高い人でも引っかかる精度があります。

【事例3】国内ニュースサイト経由の感染報告

国内のニュースアグリゲーターや大手まとめサイトにもアドエクスチェンジ経由で悪意ある広告が配信された事例が報告されています。普段から信頼しているサイトを見ているという安心感が、最も危険な落とし穴になります。

具体的な防御手順

1. ブラウザと拡張機能を最新に保つ

エクスプロイトキットの大半は、ブラウザやその拡張機能の既知脆弱性を突きます。Chrome・Firefox・Edgeを自動更新に設定し、不要な拡張機能は削除するだけでリスクを大幅に下げられます。

# Linux（Debian系）で Chromium を最新に更新
sudo apt update && sudo apt upgrade chromium-browser -y

# Firefox の更新確認（Linux）
firefox --version
# GUIで [ヘルプ] → [Firefoxについて] から即時更新も可能

2. 広告ブロッカーの導入

個人端末・業務端末問わず、ブラウザ拡張の広告ブロッカー（uBlock Origin等）の導入が最も即効性の高い対策です。広告そのものをレンダリングしなければ、ドライブバイダウンロードは成立しません。

企業内で展開する場合は、グループポリシーやMDMを使って全端末に一括配布できます。費用ゼロでリスクを大きく下げられる施策として、費用対効果は非常に高いです。

3. エンドポイントの防御を多層化する

EDR（エンドポイント検出・対応）は、マルバタイジング由来のマルウェアが実行される段階で挙動ベースの検知・遮断を行います。従来のシグネチャベースのアンチウイルスとの組み合わせで、エクスプロイトキットが未知のマルウェアを投下した場合でも対応できます。

4. スクリプト実行を制御する

ドライブバイダウンロードはJavaScriptが起点になるケースが多いです。ブラウザ設定でJavaScriptをデフォルト無効にし、必要なサイトだけ許可するホワイトリスト方式を取ることで、攻撃の大半を無力化できます。ただし多くのWebサービスがJavaScriptに依存しているため、業務への影響を確認した上で判断してください。

5. DNSフィルタリングを活用する

マルバタイジングの広告が参照する悪意ある外部ドメインへの通信をDNSレベルでブロックする方法です。Cloudflare for Teams（無料枠あり）やGoogle Safe Browsingを組み合わせることで、既知の悪意あるドメインへのアクセスをネットワーク全体で防ぎます。

中小企業でも今日からできること

予算や人手が限られていても、以下の対策は今日から着手できます。

・ブラウザ自動更新の徹底: 全端末のブラウザ更新状態を週次で確認する仕組みを作る。MDMがなければスクリプトでのバージョン確認でも可。
・uBlock Originの全社展開: グループポリシーまたはMDMを使って全端末に展開する。費用ゼロで最も効果が高い対策の一つ。
・社内周知の実施: 「有名サイトを見ているだけでも感染する」という事実を全従業員に伝え、不審な挙動（突然のポップアップ・警告表示）があればすぐ報告させる体制を整える。
・EDRの検討: Microsoft 365 Business Premiumに含まれるMicrosoft Defender for Endpointは、コストを抑えながらEDR機能を全端末に展開できる現実的な選択肢。
・パッチ管理の自動化: パッチ管理の仕組みを自動化し、脆弱性を放置しない状態を維持することがマルバタイジング対策の土台になります。

よくある誤解と注意点

【誤解1】「怪しいサイトを見なければ安全」

マルバタイジングはYahoo! JAPANのようなメジャーポータルや大手ニュースサイトの広告枠でも発生します。信頼できるサイトを見ているという安心感そのものが、この攻撃の武器です。

【誤解2】「広告をクリックしなければ大丈夫」

ドライブバイダウンロード型はページの読み込みと同時にJavaScriptが実行されます。クリックは不要で、画面に広告が表示された瞬間が危険です。未パッチのブラウザ環境であれば、ページを開いただけで感染することがあります。

【誤解3】「Macユーザーは狙われない」

WindowsがターゲットになることはmacOSより多いですが、MacユーザーをターゲットにしたAdLoadなどのアドウェア系マルバタイジングも実在します。プラットフォームで安心せず、ブラウザとOSの更新は欠かさずに行いましょう。

【注意】自社サイトが加害者になるリスク

WordPressで運用しているサイトにアドネットワークの広告を掲載している場合、自社サイトが知らないうちに被害を広める側になるリスクもあります。利用している広告ネットワークのセキュリティポリシーを確認し、WAF（Webアプリケーションファイアウォール）でサイト本体を守る対策と組み合わせることを検討してください。

本記事のまとめ

マルバタイジングは「有名サイトを見ているだけで安全」という常識を覆す攻撃です。技術的な対策（ブラウザ更新・広告ブロック・EDR）と組織的な対策（社内周知・報告体制の整備）を組み合わせることで、リスクを現実的に下げられます。「どうせ自分は狙われない」ではなく、「どうすれば正しく備えられるか」を基準に動きましょう。

また、脅威の最新動向を把握するために脅威インテリジェンス（Threat Intelligence）を活用する体制も、継続的な防御のために有効です。