YouTubeの有料動画広告がマルウェア配布に悪用されていた事例をセキュリティ企業が報告

YouTubeで「株式チャートサービスのTradingViewを1年間無料で利用できる」と宣伝する有料動画広告が配信され、広告をクリックしたユーザーがマルウェア入りの偽アプリへ誘導されていたことをセキュリティ企業のSafeDepが報告しました。SafeDepが新たに解析した感染端末はMacでしたが、TradingViewなどを装った悪質な広告からWindows向けマルウェアを配布する攻撃も以前から確認されています。

From YouTube Ad to Root: How a Fake TradingView Installer Delivers a macOS Stealer - Real-time Open Source Software Supply Chain Security
https://safedep.io/youtube-ad-fake-tradingview-macos-stealer/

TradingViewは株式や仮想通貨などの価格チャートを表示できるサービスです。攻撃者はTradingViewの知名度を悪用し、「有料機能を無料で利用できる」「デスクトップアプリをインストールすれば無料になる」といった広告でユーザーを誘導していました。こうした広告は通常のソフトウェア広告と区別しづらい点が問題です。

SafeDepの調査によると、感染端末では2026年7月26日、YouTubeに表示された「デスクトップアプリをインストールするとTradingViewを1年間無料で利用できる」という内容の動画広告がクリックされていました。広告の遷移先は攻撃者が用意したYouTube動画で、動画の説明欄にあるリンクをクリックするとTradingViewを装った偽サイトへ転送されるようになっていました。こうした広告はハッキングなどの手段で表示されたものではなく、攻撃者が広告掲載の費用を支払ってGoogle Ads経由で配信されたものでした。

今回の端末では広告がクリックされたのが14時16分、管理者パスワードの取得や自動実行設定が行われたのは14時17分台で、YouTube広告をクリックしてから端末の侵害に至るまで約2分だったとのこと。

以下はSafeDepがまとめた攻撃の全体像です。最初の入口にYouTubeの動画広告が置かれていることが分かります。広告から偽サイトへ誘導した後は偽インストーラーを実行させ、外部サーバーから追加プログラムをダウンロードする仕組みをMacへ組み込んでいました。最初にダウンロードされるファイルは約2MBと小さく、最終的なマルウェアをすべて含むのではなく、後から必要な機能を送り込むための足掛かりとして使われていたとSafeDepは分析しています。

今回SafeDepが詳しく解析したマルウェアはmacOS向けですが、Windowsユーザーに無関係な攻撃というわけではありません。セキュリティ企業のCheck Point Researchは2025年に「JSCEAL」と呼ばれるWindows向けマルウェア攻撃を報告しています。TradingViewをはじめとする投資・仮想通貨関連アプリを装った広告から偽サイトへ誘導し、Windows用のMSI形式インストーラーをダウンロードさせる手口で、2025年上半期だけで3万5000件を超える悪質な広告が確認されたとのことです。

別のセキュリティ企業のBitdefenderは、当初Facebook広告などを中心に使っていた攻撃者がGoogle AdsやYouTubeにも活動を広げたと報告しています。Bitdefenderが確認したYouTube上の事例では、乗っ取られた認証済みチャンネルをTradingView公式チャンネルのように作り替え、検索からはアクセスできずリンクからの移動かURLの直接入力が必要となる限定公開動画を広告として大量に表示していました。動画説明欄にはマルウェア入りファイルへのリンクが掲載され、広告動画の中には数日間で18万回以上再生されたものもあったとのこと。

Windows向けに配布されていたマルウェアはJSCEALまたはWEEVILPROXYと呼ばれ、ブラウザに保存されたCookieやパスワードの取得、キー入力の記録、スクリーンショットの撮影、仮想通貨ウォレットの情報収集などの機能を備えていました。BitdefenderはMicrosoft Defender Antivirusの除外設定を追加して後続のマルウェアを実行する仕組みも確認しています。

SafeDepが2026年に解析したmacOS版も、通信方法やNode.jsを利用する構成、TradingViewを装った広告による誘導など多数の特徴がWindows向けJSCEAL／WEEVILPROXYと一致しています。ただしSafeDepはmacOS版が同じ攻撃グループによって開発されたとは断定しておらず、公開情報との一致から関連性が高いと推測しています。

SafeDepが解析したMacでは感染後、キー入力や画面の取得、パスワード管理機能へのアクセスなどが可能になっていました。また、攻撃者のサーバーから新しい命令を受け取って実行できるため、最初にインストールされた時点では存在しなかった機能を後から追加することも可能だったとのことです。

今回の事例で特徴的なのは、OSやブラウザの脆弱性を突いて強制的に感染させたわけではなく、攻撃者が「YouTubeの有料広告」「本物に似せたTradingViewのページ」「通常のアプリに見えるインストーラー」を組み合わせてユーザー自身にファイルをダウンロードさせている点です。Bitdefenderは「本来は有料のソフトウェアが無料で使える」などと宣伝する広告から直接アプリをダウンロードせず、公式サイトから入手するよう呼びかけています。