Ing. Calogero Bono
Appleは99か国のユーザーに新たな脅威通知を送り、傭兵型スパイウェアによる攻撃の可能性を知らせました。ドイツでは連邦議会の議員や他の著名人にも通知が届き、サイバーセキュリティ当局のBSIは、該当するデバイスを安全でないとみなすよう呼びかけています。最初の通知は10月29日に送られました。このケースは、こうしたツールが今も活発に使われていること、そして背後にいる主体を特定することがいかに難しいかを示しています。
事実に入る前に、いくつかの用語を確認しておきましょう。 傭兵型スパイウェアは、民間企業が開発する非常に高額な監視ソフトウェアで、ごく少数の人物に対して使われます。Pegasusは、NSO Groupが開発した最も有名なものです。ゼロクリックは、被害者が何もしなくても成立する攻撃を指し、クリックもファイルを開く操作も必要ありません。BSIはドイツの連邦サイバーセキュリティ当局です。ロックダウンモード（Lockdown Mode）は、デバイスの攻撃対象領域を減らすAppleの機能です。
Appleの通知では何が起きたのですか？
9to5Macによると、Financial TimesやTechCrunchを引用しつつ、ドイツの政治家や当局者は先週木曜日から通知を受け取り始めました。週末にはBSIが緊急の注意喚起を発表しました。
HDblogが伝えるところでは、ドイツの当局は調査を開始しています。一部のユーザーが受け取ったメッセージには、この通知が99か国に送られたと書かれていました。
ドイツ政府とBSIは何と言っていますか？
BSIは、連邦議会の議員や名前の明かされていない他の著名人が通知を受け取ったことを把握していると説明しました。TechCrunchによれば、通知を受けた人は「自分の端末が侵害された可能性があるものとみなすべきだ」とされています。
政府の報道官Stefan Kornelius氏は、Financial Timesによると、政府はこの事件と通知を「非常に深刻に」受け止めていると述べました。誰が標的になったのか、またフリードリヒ・メルツ首相が含まれているのかについては明らかにしませんでした。
ゼロクリック攻撃とは何で、なぜ懸念されるのですか？
同じくFinancial Timesによると、今回の攻撃はゼロクリックの脆弱性を悪用した可能性があるとのことです。標的の電話番号を知っているだけで十分だとされています。ただし、これは報道に基づく情報であり、Appleによる確認はありません。
TechCrunchは、この種のスパイウェアがメッセージ、位置情報、その他の機密情報を盗み出せると指摘しています。何もクリックせずに成立する以上、ユーザーの注意だけでは十分な防御になりません。
ほかに通知を受け取ったのは誰ですか？
ドイツ以外の受信者には、ベイルートを拠点とする映画制作者のラドワン・モルタダ氏がいます。同氏はXでその通知を共有しており、Appleは「あなたのデバイスに対する別の攻撃」と表現していました。同氏は2017年と2021年にもPegasusの標的になっていました。
モルタダ氏は、今回の試みの背後にいる人物も、彼が監督した調査報道のドキュメンタリーと関係があるかどうかも分からないと話しています。
Appleの脅威通知はどのような仕組みですか？
Appleの公式ページによると、通知は信頼度の高いアラートですが、どんな調査にも絶対的な確実性はありません。Appleは内部情報のみに基づいており、攻撃者を利するのを避けるため、何が通知をトリガーするのかは説明していません。
2021年以降、通知は年に数回送られており、Appleによれば150か国以上のユーザーに届いています。iPhone上、メール、account.apple.comのバナーに表示されます。
通知を受け取ったら何をすべきですか？
Appleは、ロックダウンモードを有効にし、Access Nowのデジタルセキュリティ・ヘルプラインなど、24時間対応の専門家に相談することを勧めています。通知が本物か確認するには、account.apple.comにアクセスし、上部のバナーを確認してください。
正規の通知が、リンクのクリック、ファイルを開くこと、アプリやプロファイルのインストール、パスワードや認証コードの入力を求めることはありません。
基本的な対策は誰にでも有効です。端末を更新し、二要素認証を使い、アプリはApp Storeからのみインストールしてください。このテーマではApp Storeの新しいルールも参考になります。
知っておくべき限界
攻撃の背後にいる主体や、どの政府が関与しているのかは分かっていません。Appleは、攻撃の帰属を示すことも、端末が実際に侵害されているかを確認することもしていません。HDblogは、通知と実際の侵害が結びつく根拠はないと指摘しています。ゼロクリックという詳細も、Appleではなく報道機関の報告に基づくものです。ドイツの調査結果、被害者の人数、悪用された脆弱性は、まだ明らかになっていません。
デジタルを扱う人にとっての影響
企業にとって直接の脅威は依然として小さいものです。Apple自身も、大多数のユーザーが標的になることはないと述べています。ただし、経営幹部、弁護士、ジャーナリスト、機密データを扱う人など、露出度の高い立場の人がいる組織ではリスクが高まります。事前に連絡先の担当者を決め、疑わしい端末を隔離する手順を定めておくことが望ましいでしょう。たとえば社用端末のポリシーを整備するのが一つの方法です。共有アカウントを管理している場合は、Google Workspace の管理コンソールに関するガイドから始めるとよいでしょう。
私たちの見解
今回のケースは、システムの脆弱さを浮き彫りにしています。傭兵型ツールは民間企業によって販売されており、TechCrunchが指摘するように、ドイツの連邦刑事局（BKA）も2019年にPegasusを購入していたとされています。そこで避けて通れない問いがあります。こうしたツールを買う者は、それを他者に対して使うのではないか、という問題です。Appleが警告を出したことは適切ですが、検知基準が不透明なため、ユーザーは文脈のないアラートを受け取ることになります。端末が侵害された可能性があるとみなすべきだというBSIの助言は慎重な判断ですが、毎日その端末で仕事をしている人にとっては大きな負担になります。
よくある質問
Appleの脅威通知とは何ですか？
傭兵型スパイウェアの標的になったとAppleが判断した人に送られる通知です。iPhone上、メール、account.apple.comに表示されます。Appleはこれを信頼度の高い通知と位置づけています。
通知を受け取ったら、iPhoneは感染していますか？
確実ではありません。Appleは端末が侵害されているかどうかを確認していません。ただし、ドイツのBSIは、侵害されている可能性を前提に直ちに行動するよう呼びかけています。
通知が本物かどうかはどう確認すればよいですか？
account.apple.comにアクセスし、上部のバナーを確認してください。正規の通知がリンクのクリック、ファイル、アプリ、パスワードの入力を求めることはありません。
ロックダウンモードは何をするものですか？
標的型攻撃に対する追加の保護を提供します。Appleは、通知を受け取った人に加えて、標的になっているかもしれないと疑う人にも利用を勧めています。
今回の件で標的になったのは誰ですか？
連邦議会の議員やドイツの他の著名人、そして99か国の利用者です。レバノン出身の映画制作者ラドワン・モルタダ氏も含まれています。攻撃の背後にいる主体は分かっていません。
スパイウェア問題の今後の数週間で注目すべき点
ドイツの調査とAppleの対応によって、技術的な詳細が明らかになるかどうかが決まります。現時点で分かっている事実はまだ少ないです。
- BSIとドイツの調査の最新情報を追い、責任の所在が明らかになるか確認してください。
- iOSアップデートのセキュリティ情報を確認し、悪用された脆弱性に言及があるかをチェックしてください。
- 影響を受ける可能性のある関係者には、Access Nowのデジタルセキュリティ・ヘルプラインなど相談窓口を伝えてください。
