Share on LinkedIn
Share on Xパピルスとは
IAS Threat Labは、小説読書アプリ群を悪用した新たなモバイル広告不正スキーム「Papyrus（パピルス）」を特定しました。
Papyrusでは、ユーザーが小説を読んでいる間、その裏側で非表示のブラウザを密かに動作させ、不正な収益化を行います。ユーザーは単に物語を読んでいるつもりでも、実際にはアプリがバックグラウンドでユーザーのスマートフォンを使ってウェブサイトにアクセスし、クリックや偽のエンゲージメントを発生させていました。
これらのアプリは、長編小説や連載形式のストーリーを楽しむ一般的なエンターテインメントアプリのように見えます。しかしIASの調査では、その裏側でコマンド＆コントロール（C2）インフラから指示を受け、ユーザーに気づかれないまま複数のウェブドメインへアクセスしていることが確認されました。
Papyrusとの関連が確認された小説読書アプリの例：
小説読書アプリが使われていることは、Papyrusの収益化の仕組みにおいて重要なポイントです。特定の作業を行うために短時間だけ利用されることの多いユーティリティアプリとは異なり、読書アプリは、ユーザーが長時間継続して利用することを前提としています。
Papyrusは、この「利用時間の長さ」を悪用します。ユーザーが画面上で小説を読み続けている間、その裏側では非表示のブラウザが動作し、収益化を目的とした複数のウェブサイトへ次々とアクセスします。ユーザーがアプリを長く利用するほど、バックグラウンドで不正なトラフィックを発生させる機会も増えるという仕組みです。
さらにPapyrusの背後には、こうして発生させたトラフィックのアクセス先となる、大規模なウェブサイトのネットワークが存在します。IASは、このスキームに関連する800以上のドメインと約8,000の固有ホスト値を特定しています。
これらのアクセス先の多くは、ゲーム、ブログ、ニュース形式のサイトや、生成AIで作成されたコンテンツを掲載するサイトです。その多くが、実際のユーザーにコンテンツを届けることよりも、その多くが広告収益を得ることを目的として作られたウェブサイトであり、こうしたサイトが不正なトラフィックの受け皿として利用されている実態が明らかになりました。
バックグラウンドで発生させたトラフィックの受け入れと
収益化に使用されたPapyrus関連ドメインの例：
Papyrusが特に深刻なのは、単にバックグラウンドで不正なトラフィックを発生させるだけでなく、広告主が広告効果を判断するための指標そのものを意図的に操作している点です。
Papyrusは、ユーザーが小説を読むために画面をタップする操作を、裏側で動作する非表示のWebViewにも伝えることで、ユーザーが意図していないクリックを発生させます。さらに、ページを自動的にスクロールすることで、あたかもユーザーがそのページを閲覧し、積極的に反応しているかのようなシグナルを作り出していたのです。
その結果、不正に作られたトラフィックであるにもかかわらず、広告主から見ると「エンゲージメントが高く、価値の高いトラフィック」であるかのように見えてしまいます。
IASの分析でも、その影響は明確に表れています。Papyrusによるトラフィックは、Papyrus以外のトラフィックと比較して、クリック成功率が約25倍、eCPMが約4倍、アテンションスコアが約13％高いことが確認されました。
つまり、これらの不正トラフィックは単に「偽物」であるだけでなく、正規のトラフィックよりも「価値が高い」かのように見えていたのです。広告主がこうした指標をもとに広告効果を評価し、キャンペーンを最適化すれば、不正なトラフィックにより多くの広告費が振り向けられる可能性もあります。
IASは、観測されたeCPMと、より広範な広告在庫の状況に基づき、Papyrusによる収益化への影響額は、ピーク時には月間100万ドル近くに達していた可能性があると推定しています。
Papyrusは、非表示のブラウザを悪用した広告不正が、特定のモバイル環境だけに限定されるものではないことも示しています。一見すると正規のサービスに見えるアプリと、ユーザーから見えない場所で行われる収益化を組み合わせた手法は、ユーザーが長時間利用する環境、アプリ内でウェブページを読み込む機能、そして収益化できるアクセス先が揃えば、さまざまな環境で発生する可能性があります。
IASのIVT回避ソリューションを利用しているお客様は、すでにPapyrusから保護されています。IAS Threat Labはこのスキームを特定しており、関連するアプリ、ドメイン、ホスト名は、回避および計測の両方において無効トラフィック（IVT）としてフィルタリングされています。
1. 技術的な詳細
Papyrusの仕組み
Papyrusの中核となるのが、アプリ内で非表示のブラウザ動作を制御する「BootNova（ブートノヴァ）」です。いわばPapyrusの「司令塔」として、バックグラウンドで行われる一連の動作を管理します。
アプリが起動すると、BootNovaは外部のコマンド＆コントロール（C2）サーバーに接続し、指示を受け取ります。その指示に基づいて、非表示のブラウザを動作させるかどうか、いつ・どの地域で実行するか、どのURLにアクセスするか、いくつのWebViewを稼働させるかなどを決定します。
さらにC2は、読み込んだウェブページ上でどのような操作を行うかも遠隔で制御できます。これにより、アクセス先だけでなく、実行タイミング、再試行の方法、WebViewの数、ページ上での操作など、Papyrusの不正な動作を外部から細かくコントロールできる仕組みになっています。
BootNovaがC2から指示を受け取ると、「WebViewOut」と呼ばれる機能を使って、ユーザーからは見えないWebViewを生成・管理します。WebViewとは、アプリ内でウェブページを表示するための仕組みです。Papyrusはこれをユーザーから見えない状態で動作させ、C2から指定されたウェブサイトへアクセスします。
このWebViewを隠すために使われるのが、「CWebViewPlugin」と呼ばれる仕組みです。Papyrusは、ユーザーが見ている小説アプリの画面の背後にWebViewを配置することで、ウェブサイトを読み込んでいてもユーザーからは見えないようにします。
さらに、その上から別の画面を重ねて覆い隠すこともできます。つまり、ユーザーの画面には通常の読書アプリが表示されている一方、その背後ではユーザーに気づかれることなく別のウェブサイトが読み込まれ、操作されていたのです。この仕組みにより、ユーザーには通常の読書アプリを使っているように見せながら、その裏側では、ユーザーに気づかれることなくWebViewを動作させ、ウェブサイトへのアクセスや操作を行うことが可能になります。
JavaScriptとリモート制御による自動操作
Papyrusは、アプリにあらかじめ組み込まれたJavaScriptと、外部のサーバーから配信されるJavaScriptを使って、WebView上での操作を自動化します。
例えば、クリックする位置を特定し、ユーザーが操作しているかのようにタップやクリック、スクロールを自動的に実行できます。IASの調査では、動画や音声をミュートしたり、Cookieなどの同意ダイアログを自動でクリックしたりする動作も確認されています。
さらに、C2からJavaScriptを配信することで、アプリ自体をアップデートすることなく、アクセスするウェブサイトや、そこで行うクリック、スクロールなどの動作を外部から柔軟に変更することができます。
BootNovaはさらに、C2との通信を解析されにくくするため、「RsaUtils」と呼ばれるモジュールなどを使った複数の難読化処理を施し、C2のURLや通信内容を容易に把握できないようにしています。
同意ダイアログを自動的にクリックする様子：
IASが不正な動作を確認した方法
IASは分析の過程で、WebViewOutにサーバー側から制御できるテストモードが存在することを特定しました。このモードを有効にすることで、通常はユーザーから見えないWebViewを画面上に表示し、実際の動作を観察することができます。
IASの研究チームはこの方法を用いて、自動化されたスクロールやクリック、同意フォームの自動クリックに加え、ユーザーが見ている読書画面と、その背後で動作するWebViewの関係を確認しました。
この分析によって、ユーザーが通常どおり読書をしているその裏側で、非表示のWebViewが動作し、ウェブサイトへのアクセスや操作が行われている実態が明らかになりました。
電子書籍アプリの画面と、その背後に隠されたレイヤーおよびWebView：
2. 脅威の全体像
パフォーマンスとアテンション指標の操作
Papyrusのより深刻な問題は、不正なトラフィックを発生させるだけでなく、その「価値」まで高く見せかけていることです。
IASは、Papyrusがクリックやスクロールなどの動作をリモートで制御していることを確認しました。Papyrusでは「Movement Recipes（動作レシピ）」と呼ばれる仕組みを使い、クリックする位置、スクロールする範囲、操作と操作の間隔、広告を閉じる位置、ページ遷移の方法などを細かく指定できます。
さらに、実行する「動作レシピ」を一定の確率で切り替えることで、毎回同じパターンを繰り返すのではなく、クリックやスクロールの動きに変化を持たせることもできます。
動作レシピを選択する確率ベースの条件分岐：
クリックやスクロール、コンテンツの閲覧時間などは、広告のパフォーマンスやアテンションを評価する際の重要な判断材料となります。しかし、Papyrusではこうした操作が非表示のWebView内で自動的に行われるため、得られるシグナルが実際のユーザーの関心やエンゲージメントを反映しているとは限りません。
広告主にとって問題なのは、不正なトラフィックが発生するだけでなく、それが「パフォーマンスの高いトラフィック」に見えてしまうことです。その結果、パフォーマンスレポートやアテンションに基づく評価が歪められ、広告主がそのデータをもとにキャンペーンを最適化することで、本来価値のないトラフィックに、より多くの広告予算が配分されてしまう可能性があります。
ゲームサイト上での自動スクロールと自動クリック：
3. IASによるPapyrusへの対策
IASのIVT回避ソリューションを利用しているお客様は、すでにPapyrusから保護されています。IAS Threat Labが特定したPapyrusに関連するアプリ、ドメイン、ホスト名は、回避および計測の両方で無効トラフィック（IVT）としてフィルタリングされています。
これにより、Papyrusに関連する広告在庫が保護対象のキャンペーンに入り込むことを防ぐとともに、非表示のWebViewによるトラフィックや自動化されたクリック、水増しされたアテンションシグナルが、正当なエンゲージメントとして計測・評価されることも防いでいます。
Papyrusのように、正規のアプリ利用の裏側で複数の仕組みを組み合わせた不正に対抗するために欠かせないのが、個々のシグナルだけでなく、アプリ環境、非表示のWebView、アクセス先のドメインやホスト名、クリックやスクロールなど、一連の動きを横断的に捉える視点です。
まとめ
Papyrusは、一見すると正規のモバイルアプリのように見えながら、その裏側でユーザーに気づかれることなくウェブトラフィックを発生させ、さらに自動化されたクリックやスクロールによって、そのトラフィックを実際よりも価値が高いものに見せかける、巧妙な広告不正の実態を示しています。
ユーザーが長時間利用するという読書アプリの特性さえも、不正な収益化の機会として悪用される可能性があります。IAS Threat Labは、今後もPapyrusの動向を継続的に追跡し、その手法の変化を監視していきます。
