暗号化されたブラウザ通信（HTTPS）の裏を突く「Malvertising（悪質広告）」

【背景と概要】

Webサイトを安全に閲覧するための仕組みとして、今や大半のWebサイトが「HTTPS（SSL/TLS暗号化）」に対応しています。ブラウザの鍵マーク（HTTPS）は通信の安全性を担保するものですが、「アクセスしているWebサイトのコンテンツそのものが安全であること」を保証するものではありません。

この盲点を突き、大手ニュースサイトや有名情報ポータルなど「正常で信頼されているWebサイト」上に配信されるオンライン広告枠を悪用してマルウェアを感染させる手口が「Malvertising（マルバータイジング：悪質な広告攻撃）」です。

【Malvertisingの攻撃構造と拡散メカニズム】

攻撃者はWebサイトの管理者を直接ハッキングするのではなく、「アドネットワーク（広告配信基盤）」を経由して攻撃を仕掛けます。

1. アドネットワークへの悪質な広告入札

現代のWeb広告は、ミリ秒単位の自動オークション（RTB: Real-Time Bidding）によって動的に配信されています。攻撃者はダミーの広告代理店を装い、正規のアドネットワークへ「悪意あるコードを込めたWeb広告（JavaScript等）」を出稿します。

1. 信頼された大手Webサイト上での自動実行

大手ニュースサイト等の閲覧者がページを開いた瞬間、埋め込まれた広告枠から自動的に悪質なスクリプトが読み込まれます。ユーザーが広告を「クリック」しなくても、ページを開いただけで攻撃サイトへ強制転送されたり、ブラウザの脆弱性を突くドライブバイダウンロード攻撃が実行されます。

1. 検索連動型広告（リスティング広告）の悪用

検索エンジンの最上部に表示される「スポンサー広告枠」に正規ツールを装った偽サイトの広告を掲載し、ユーザーを騙して悪質ファイルをダウンロードさせる手口もMalvertisingの一種です。

【組織における被害リスク】

従業員が「仕事に必要な業界ニュースを見ていただけ」「業務で使うツールを検索しただけ」であるにもかかわらず感染が発生するため、従来の「怪しいサイトは見ない」という精神論的な教育では防ぎきれません。

【Malvertisingに対抗する多層防御】

広告配信の仕組みを前提とした技術的制限が必要です。

1. DNSセキュリティおよびWebフィルタリングの導入

広告配信サーバー（Ad Server）の中で悪質と判定されたドメインや、不審なリダイレクト先への名前解決・通信をDNS層やSWG（Secure Web Gateway）で即座に遮断します。

1. 広告ブロック技術（Ad Blocker）やブラウザ制限の活用

業務端末において、不要なサードパーティ製広告スクリプトの実行を制限するエンタープライズポリシーをブラウザへ適用します。

1. ブラウザおよび関連プラグインの最新化とRBIの適用

ブラウザの脆弱性を突くスクリプトの実行を防ぐため、ブラウザの自動更新を徹底します。また、リスクの高いWeb閲覧に対しては画面の描写結果のみを送信する「RBI（リモートブラウザ隔離）」を適用します。