ゼロクリック型スパイウェア攻撃とは、標的がリンクをクリックしたり、ファイルを開いたり、その他の操作をしたりする必要なく、悪意のあるスパイウェアがデバイスにインストールされるサイバー攻撃である。この用語は、脆弱なシステムが悪意のあるコンテンツを受信または処理した際に、自動的に起こり得る感染を指す。

ゼロクリック攻撃は、開発者がまだ欠陥を把握していない、または修正パッチを公開していないために、ゼロデイ脆弱性と呼ばれることもある未公表のソフトウェア上の弱点を利用する場合がある。こうした場合、修正が利用可能になる前にユーザーが危険にさらされる可能性がある。

事例

商用監視ツールに関する公開研究では、ゼロクリックの手法が報告されている。NSO Groupが開発したPegasusは、ゼロクリック型エクスプロイトを使い、モバイルデバイスにスパイウェアを遠隔インストールすることが報告されている。FORCEDENTRYエクスプロイトは、Apple製デバイスへのPegasusの展開に関連する事例の一つである。

重要性

Citizen Labの調査に関する報道では、ターゲティング広告システムが悪用され、ゼロクリック型スパイウェア感染を引き起こす悪意のあるコンテンツの配信に使われる可能性が懸念として示されている。攻撃にユーザーの操作が必要ないため、不審なリンクをクリックしないよう促す従来の警告では、こうした攻撃を防げない場合がある。

インストールされると、スパイウェアによって攻撃者はデバイスに気づかれずにアクセスできるようになり、使用されるツールや侵害されたシステムによっては、メッセージの閲覧、位置情報の追跡、マイクやカメラの起動などが可能になる。