Appleは現在、詐欺的なSparrow Wallet(スパロウ・ウォレット)アプリをApp Storeからダウンロードして利用した結果、約180万ドル相当のビットコインを盗まれたと主張する3人から訴訟を起こされています。
7月24日にカリフォルニア州で提出されたこの訴状は、App Storeを安全で信頼できるソフトウェアの入手先として宣伝していながら、Appleがそこで配布されるアプリケーションの審査と監視を怠っていたと主張しています。
原告のJames Ramirez氏、Christopher Ellis氏、Jalen Delgado氏は、この悪意あるアプリが正規のビットコインウォレット「Sparrow Wallet」になりすまし、シードフレーズの入力を求めてきたと述べています。
被害者らは、この秘密の復元用資格情報を入力した後、自分のビットコインが詐欺師の管理する暗号資産ウォレットへと送金されてしまったと訴えています。
正規のSparrow Walletは、Windows、macOS、Linux向けに提供されているデスクトップアプリケーションであり、iOS版は存在しません。
しかしSparrow Walletの開発者によると、詐欺師たちはこれまでも繰り返しApp Store上にこの暗号資産ウォレットになりすましたアプリを公開してきたといいます。
事前の警告後にもビットコインを失った被害者たち
訴状によると、Delgado氏は2025年5月1日前後にこの詐欺的なアプリをダウンロードしてシードフレーズを入力し、その直後に1.05033242ビットコイン(当時の価値で約120,000ドル相当)が詐欺師に送金されていたことに気づいたとしています。
Ramirez氏は2025年7月25日にこのアプリをダウンロードし、約875,000ドル相当となる7.4ビットコインを失ったとされています。訴状によれば、Ramirez氏は同日中にこの詐欺アプリと被害についてAppleに報告しましたが、Appleはその報告や、その後の複数回の報告についても一度も連絡してこなかったと主張しています。
その1週間ほど後、8月3日前後にはEllis氏も同様にApp StoreからこのSparrowアプリをインストールしたとされています。シードフレーズを入力した後、Ellis氏は約840,000ドル相当の暗号資産が詐欺師に送金されていたことに気づき、直ちにこのアプリと被害についてAppleに報告しました。
訴状はさらに、Appleがこの詐欺的なSparrowアプリを上位にランク付けし、暗号資産アプリの特集コレクションにも掲載していたと主張しています。これは事実上、正規のアプリと並べてこの偽アプリを推奨していたことになります。
しかし、Appleは原告らが被害に遭う1年以上前から、偽のSparrow Walletアプリについて既に警告を受けていたとされています。
訴状には、正規のSparrow Walletアプリの開発者であるCraig Raw氏による2024年1月6日付の投稿が含まれています。同氏はその中で、自身をはじめ複数人が数週間前にすでに報告していたにもかかわらず、偽のSparrow Walletアプリが依然としてApp Storeに残っていたと述べています。
攻撃者に先んじて、すべての防御層をテストする
セキュリティチームが記録できている攻撃成功例は54%にとどまり、アラートが発せられるのはわずか14%です。残りは検知されないまま環境内を通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(breach and attack simulation)がSIEMおよびEDRのルールをどのようにテストし、検知をすり抜ける脅威を防ぐのかを解説しています。