セルビアの学生抗議運動のメンバーが、NSOグループのスパイウェア「Pegasus」にiMessageのゼロクリック攻撃を通じて感染していたことが、Citizen LabとSHARE Foundationによるフォレンジック調査で明らかになりました。
Citizen Labによると、この人物のiPhoneには2025年12月から2026年1月にかけて感染を示す高確度の痕跡が見つかりましたが、それ以降さらなる感染がなかったとは言い切れないとしています。対象者は調査結果の公表には同意したものの、匿名での扱いを希望したため、プライバシー保護の観点から具体的な感染日は公表されていません。
9月2日に発表された調査報告によれば、今回の攻撃にはiMessageのゼロクリック攻撃が使われており、Citizen Labはこの脆弱性がAppleによってiOS 18.4.1(2025年4月にリリースされたバージョン)の時点で修正済みだったとみています。
ゼロクリック攻撃は標的側の操作を一切必要としないため、リンクのクリックや添付ファイルの開封がなくてもスパイウェアを送り込むことができます。
研究者らによれば、こうした感染は標的側からは一切見えない形で行われ、攻撃者はメモや写真、暗号化されたメッセージを含むデバイスへの完全なアクセス権を得るほか、マイクやカメラを気づかれずに起動する能力も手にするとされています。
Pegasus、セルビアの学生運動を標的に
同研究所によると、今回の調査は対象者が傭兵型スパイウェアによる標的化を警告するAppleの脅威通知を受け取ったことをきっかけに始まったといいます。
この通知は、SHARE Foundationが記録したセルビアの学生運動や市民社会のメンバー、さらには野党の国会議員を含む少なくとも14件の事例の一つでした。Citizen Labは、この標的化が2026年の重要な選挙サイクルを前にして行われたと指摘しています。
トロントを拠点とする同研究所は、今回の事案がセルビアにおける監視の乱用という長い歴史の一部であるとし、これまでにも市民社会を狙ったPegasusの標的化や、Cellebriteのフォレンジックツールを悪用してスパイウェア「NoviSpy」を仕込む手口があったと説明しています。
SHARE FoundationとAmnesty Techは同日、学生運動の別のメンバーのデバイスから新バージョンのNoviSpyが見つかったことを確認しました。
商用スパイウェアに関する関連記事: NSOグループ、WhatsAppでのPegasusスパイウェア悪用により1億6,800万ドルの制裁金
脅威通知を受け取った場合の対処法
Citizen Labは、Appleの脅威通知は感染していることを前提に扱うべきだとし、通知を受け取った人にはただちに専門家の支援を求めるよう促しています。
また、家族や共同作業者など身近な関係者もスパイウェアの検査を受けること、リスクが高い人物はAppleの「ロックダウンモード」を有効にすること、すべてのデバイスを常に最新の状態に保つことも推奨しています。
セルビア国内の人物にはSHARE Foundationへの連絡が呼びかけられた一方、それ以外の地域の対象者にはAccess Nowの「Digital Security Helpline」など信頼できる専門機関への相談が案内されています。同研究所は、個別の専門的助言に代わるものはないとしながらも、「Security Planner」などのオンラインリソースも参考になるとしています。
同研究所は、他の通知事例に関するフォレンジック調査を継続中であるとし、今回の確認結果はセルビアの民主化運動が引き続き傭兵型スパイウェアの標的とされていることを示していると述べています。
画像提供: Tada Images / Poetra.RH / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/pegasus-zero-click-exploit/
