マルバタイジングとAdFection｜配信経路を確認する

｜広告運用ノウハウ公開中！

より詳しく知りたい方は資料をダウンロード！

マルバタイジングは、広告の配信経路を悪用してマルウェアを配布する手法です。マルウェア（malware）と広告（advertising）を組み合わせた言葉で、手法そのものは以前から知られていました。

2026年10月15日、トロント大学の研究機関Citizen Labが、この手法で実際に端末が感染した事例を技術的に確認したと公表しました。報告書ではこの手口をAdFectionと呼んでいます。

広告主の立場で読むと、重要なのは感染の仕組みよりも配信の経路です。悪意のある広告を出していた事業者は、Googleと業界団体IAB Europeが「認定」「承認」した事業者の一覧に、2020年から載っていました。 多くの広告主が使っている経路と同じ経路を通っていたことになります。

この記事では、マルバタイジングの基本と、AdFectionで何が起きたのかを整理したうえで、広告を出す側が自社の配信経路について何を確認できるかをまとめます。感染した端末の駆除手順は扱いません。

1. マルバタイジングとは、広告の配信経路を悪用する手口

マルバタイジングは、正規の広告配信の仕組みに悪意のある広告を流し込み、閲覧した人の端末をマルウェアに感染させたり、不正なサイトへ誘導したりする手口です。

広告主から見たときの特徴は2つあります。

• 自社のサイトやアプリが配信先になる場合がある。アドネットワークから広告を受け取っている媒体側の問題です
• 自社の広告と同じ経路に、悪意のある広告が流れている場合がある。入札の仕組みを通る以上、同じアドエクスチェンジを使う広告主は経路を共有しています。自社の広告の中に不正なコードが混入するという意味ではありません

後者は普段意識しにくい部分です。自社の広告が不正に使われるわけではないので、直接の被害が見えません。しかし、どの事業者が同じ経路に参加しているかは、広告主が選べる範囲の外で決まっています。

なお、広告費が無駄に消費される問題は別の論点です。そちらはアドフラウドとは？2026年の最新データと手口・対策を解説で扱っています。

2. AdFectionで確認されたこと

Citizen Labの報告書は、国際的な報道機関であるAl Jazeeraの端末が、標的型の広告を経由してスパイウェアに感染したと述べています。広告をクリックしていなくても、広告が表示された時点で端末を特定し、自動的に感染させる仕組みだったとされています。

報告書が示した規模は次のとおりです。

項目	内容
分析した入札記録	40億件
配信された範囲	4か月間で20万近いユニークなサイトとAndroid/iOSアプリ、数十か国
確認された標的	Al Jazeeraの端末、少なくとも45台
広告を出していた事業者	Discover-Tech（イスラエル。正規の広告会社として活動）

広告の配信経路として報告書が挙げているのは、Google、Yandex、Beeswax（FreeWheel/Comcast）、Vungle（Liftoff）、Eskimi、Suntengです（出典：The Citizen Lab「Exposing AdFection」、2026年10月15日）。

報告書は配信先を「数十か国」とだけ書いていて、日本が含まれるかは特定できません。 ただし、ここに挙がっているGoogleやVungle（Liftoff）は、日本の広告主も使っている経路です。自社に関係のない海外だけの話として読むと、確認すべき点を見落とします。

3. 「認定ベンダー」の一覧に6年間載っていた

広告主にとって本題はここです。報告書は次のように書いています。

• 原文：both Google and the advertising association IAB Europe have listed Discover-Tech as a "certified" and "approved" ad vendor since the year 2020
• 訳：Googleと広告業界団体のIAB Europeは、Discover-Techを2020年から「認定済み」「承認済み」の広告ベンダーとして一覧に掲載していた

この掲載が、同社を正規の広告会社に見せ、広告の仕組みへの大規模な参加を容易にしたと報告書は指摘しています。

Citizen Labの提言部分は、この点をさらに踏み込んで書いています。業界は「認定」「承認」という語を使うが、参加するベンダーに対して意味のあるデューデリジェンスを行っておらず、ベンダーがオンラインのフォームにチェックを入れる自己申告に不適切に依存している、という内容です。

つまり「リストに載っているから安全」という前提が成り立っていませんでした。 広告主が配信先や配信経路を選ぶとき、媒体が示す認定・承認のラベルをそのまま信頼の根拠にはできない、という話になります。

3-1. 調査後に各社が取った対応

2026年10月初旬に、GoogleとIAB Europeは同社を広告ベンダーの登録簿から削除しました。Googleは調査に協力し、自社のアドエクスチェンジへのアクセスを停止しています。Beeswaxは広告買付プラットフォームから削除、Vungle（Liftoff）は審査のあいだアクセスを一時停止、Eskimiはアカウントとドメインをブロックしました。

報告書は、ここで名前が挙がった広告ベンダーについて、自社の仕組みが広告以外の目的で悪用されていることを必ずしも認識していたわけではない、と注記しています。

4. 広告主が自分で確認できること

感染そのものへの対処はセキュリティ側の仕事ですが、広告の運用側でも確認できることがあります。アドフラウド（広告費の水増し）とは問題の種類が違うので、対策も別になります。

	アドフラウド	マルバタイジング
起きること	広告費が無駄に消費される	広告面から端末が感染する／不正サイトへ誘導される
直接の被害者	広告主	広告を見た人、媒体の利用者
広告主の対応	配信面の除外、不正クリックの検知	配信経路とベンダーの把握、自社サイトに出す広告面の管理

運用側で確認する順番は次のとおりです。

1. 配信しているネットワークと、その中で自社の広告が出ている面を一覧にする
2. 自社のサイトやアプリに広告を受け入れている場合は、どのネットワーク経由かを確認する
3. 除外の仕組み（プレイスメント除外、ブロックリスト）が実際に機能しているかを確認する

具体的な除外の操作は【2026年】プレイスメント除外とは？方法と手順を画像で解説！にまとめています。

ここで起こりうる取り違えが1つあります。

• 症状：ニュースを見た社内から「広告経由の感染が出ているから配信を止めてほしい」と要請が来る。担当者は何を止めればよいか分からず、全キャンペーンを一時停止する。配信を戻したあとも、学習がリセットされてCPAが悪化する
• 原因：自社の広告がどのネットワークのどの面に出ているかを把握していないため、止める範囲を切り分けられません。今回の件で名前が挙がったのは特定の広告事業者であり、配信面すべてが危険という話ではありません
• 対策：先に配信面の一覧を作り、該当するネットワークがあるかを確認してください。該当がなければ、止める必要はありません。自社サイトに広告を受け入れている場合は、そちらの経路を確認します
• 回避策：配信ネットワークと配信面の一覧を定期的に更新しておくと、同種のニュースが出るたびに全停止を検討せずに済みます。学習のリセットによる悪化は連休明けに広告が落ちる？学習リセットの仕組みと立ち上げ対策で扱っています

5. Squad beyondで、配信面ごとの成果を分けて見る

配信面の整理は、除外のためだけの作業ではありません。どの面から来た人がどのページで離脱しているかが分かれば、除外すべき面と、遷移先を変えれば成果が出る面を切り分けられます。

Squad beyondでは、配信面ごとに遷移先のページを分けて、流入とコンバージョンをページ単位で比べられます。面を一律に除外する前に、遷移先の違いで成果が変わるかを確かめておくと、配信量を落とさずに済みます。

6. マルバタイジングについてよくある質問（FAQ）

7. まとめ

マルバタイジングは、正規の広告配信の仕組みを悪用してマルウェアを配布したり、不正なサイトへ誘導したりする手口です。2026年10月15日、Citizen Labは標的型広告を経由したゼロクリックの感染を技術的に確認したと公表し、この手口をAdFectionと呼んでいます。

広告主にとって重要なのは、悪意のある広告を出していた事業者が、Googleと業界団体IAB Europeの認定・承認ベンダーの一覧に2020年から載っていたことです。報告書は、業界の認定が実質的な審査を伴わず自己申告に依存していると指摘しています。各社は2026年10月初旬に登録簿からの削除とアクセス停止の対応を取りました。

運用側でできるのは、配信しているネットワークと配信面を一覧にし、自社サイトに広告を受け入れている場合は配信元を確認することです。ニュースを理由に全キャンペーンを止めると、学習のリセットで成果が落ちます。止める範囲を切り分けてから動いてください。

　

Squad beyondサービス紹介資料はこちらからダウンロード