概要
欧州最大級のアドテク企業の一つであるAdformが配信するJavaScriptトラッキングスクリプト「trackpoint-async.js」(配信元: s2.adform.net) が改ざんされ、同社のタグを埋め込んだ顧客サイトを閲覧したユーザーのクリップボードを監視し、暗号資産ウォレットアドレスを攻撃者のものにすり替えるサプライチェーン攻撃が発生した。セキュリティ研究者Kevin Beaumont氏が不正な挙動を発見・公表し、Adformは2026年7月27日に不審な動きを検知して不正コードを削除、影響を受けた顧客への通知と当局への報告を行った。確認されている最も古いサンプルは7月26日に遡るという。Adformは約1,800社の顧客を抱え、2025年には1日あたり15億件の広告配信を行った実績を持つ企業であり、影響範囲は同社の広告タグを埋め込む多数のサイトに及んだ可能性がある。
技術的な詳細
改ざんされたスクリプトには、XOR暗号化で難読化された2つの不正コードブロックが仕込まれていた。1つ目のブロックはクリップボードのcopyイベントを監視し、4秒ごとにクリップボードの内容を読み取ってビットコイン・イーサリアム・TRON(トロン)のウォレットアドレスと一致する文字列を攻撃者のアドレスに置き換えるものだった。Beaumont氏によれば、被害者が誤りに気づいて正しいアドレスを再度コピーしても、繰り返し書き換えられてしまう挙動が確認されている。2つ目のブロックはドキュメント内のテキストノードを走査し、コピー・カット・ペースト・入力の各イベントを傍受してフォーム内のアドレス表示自体も書き換えていた。さらにこのスクリプトは外部のIPアドレス84.32.102[.]230のポート7744に対してHTTPリクエストを送信し、閲覧ページのホスト名やパスといった情報を送出しようとしていたことも判明している。Adformは、訪問者のIPアドレスや閲覧サイトの情報が実際に外部送信された証拠は見つかっていないとしつつも、技術的には送信され得た可能性を認めている。なお同社は、このコードが端末へのソフトウェアインストールや永続化を狙ったものではなく、対象ページが開かれている間のみ動作する設計だったと説明している。攻撃発覚当初、VirusTotal上ではいずれのアンチウイルスエンジンによる検知もなかった点も、Beaumont氏らによって指摘されている。
影響と対応
Adformは対応として、修正後もキャッシュに改ざん済みファイルが残っている可能性があるため、利用者にブラウザのキャッシュ(またはCookie)を削除するよう呼びかけている。ただし同社の公表内容には、実際に影響を受けたウェブサイトの数、閲覧者の露出件数、実際に資金が窃取された事例の有無といった具体的な被害規模の指標が含まれておらず、インシデントの全容は依然として不明瞭なままである。攻撃者の身元や侵害指標(IoC)についても、Adformから公式な情報提供はなされていない。
背景と今後の展望
今回の事案は、広告配信タグのように多数のサイトに共通で埋め込まれる第三者スクリプトが、攻撃者にとって効率的な侵入経路となり得ることを改めて示した。単一のアドテク事業者のスクリプトを改ざんするだけで、個別にサイトを侵害することなく無関係な多数のダウンストリームサイトへ攻撃を及ぼせる、典型的なサプライチェーン攻撃の構図である。暗号資産のクリップボード書き換え攻撃(クリッパー型マルウェア)自体は以前から知られている手口だが、それが広告配信インフラという広範なリーチを持つ経路を通じて展開された点が今回の特徴であり、サイト運営者に対しては外部スクリプトの整合性監視(Subresource Integrityの活用など)や依存先ベンダーのセキュリティ体制の精査が改めて求められる事案となった。