概要
Citizen LabとSHARE Foundationの研究者らは、セルビアで発生した傭兵型スパイウェア攻撃を確認しました。ゼロクリック攻撃によって、民主化推進派の学生活動家が使用するiPhoneにPegasusスパイウェアが送り込まれていたのです。さらに独立系フォレンジック分析により、少なくとも14人の市民社会関係者や野党政治家が同様の国家による監視を受けていたことも明らかになりました。
感染経路
2026年8月、セルビア国内の12人がAppleの脅威通知をスマートフォンで受け取り、デジタルフォレンジックの専門家に連絡を取りました。その後まもなく、SHARE Foundationはセルビアの学生運動および野党陣営全体で少なくとも14人が標的にされていたことを記録しています。これらの警告は、国家の支援を受けた攻撃者が商用監視ツールを用いて対象者の端末を狙ったことを本人に知らせるものでした。
フォレンジック調査担当者らの調べによると、主な攻撃経路にはApple iMessageが使われていました。具体的には、攻撃者は標的側の操作を一切必要とせずにPegasusスパイウェアを送り込んでいました。このゼロクリック攻撃は完全にバックグラウンドで機能するため、被害者は不審なリンクや異常なポップアップを目にすることは一度もありませんでした。
SHARE Foundationは、学生や野党政治家を標的にした事案の調査結果を公表しました。また別途、調査担当者はセルビア国内のAndroidユーザーを狙った異なる感染経路についても記録しています。これらの事例では、警察官が取り調べ中にスマートフォンを押収し、新バージョンのNoviSpyスパイウェアをインストールしていました。当局はデジタルフォレンジック用の抽出機器を使い、押収した端末に不正ソフトウェアを直接仕込んでいたのです。
感染チェーン
今回のiOS向け攻撃チェーンは、Appleの旧バージョンのOSを実行している端末を侵害するものでした。Citizen Labの研究者らによると、攻撃者はiMessageの処理過程に存在する欠陥を悪用していたとのことです。この攻撃コードはメッセージアプリの実行環境内で動作し、その後OSのサンドボックスを回避して端末上でroot権限を取得していました。
Appleは根本的な脆弱性をiOS 18.4.1で修正しました。そのため、このバージョンより後のパッチが適用されていない端末は、引き続きこの攻撃に対して脆弱な状態にあります。Citizen Labは、Pegasusスパイウェア感染に関するフォレンジック分析の技術的詳細を確認しています。
Citizen Labのシニア研究者であるBill Marczak氏は、今回の侵害のタイミングを強調しています。同氏は「当該学生の端末が2025年12月から2026年1月にかけてPegasusのゼロクリック攻撃によってハッキングされたことを確認した」と述べています。フォレンジックによる時系列分析からは、この侵入がセルビアの重要な地方選挙の数週間前に発生していたことが示されています。
Citizen Labのシニア研究者であるJohn Scott-Railton氏は、今回の政治的背景について言及しました。同氏は「今回のフォレンジック調査結果と、新たに確認されたAppleの脅威通知の波は、セルビアの平和的な民主化推進運動が2026年の重要な選挙サイクルを前に、傭兵型スパイウェアによって激しく標的にされていることを示している」と述べています。
コマンド&コントロールとデータ窃取の挙動
インストールされると、Pegasusスパイウェアは感染したモバイル端末を完全に制御下に置きます。攻撃者は個人の写真ライブラリ、メモ、通話履歴、ブラウザの閲覧履歴にアクセスできるようになります。さらに、このマルウェアはSignal、WhatsApp、Telegramといった暗号化メッセージアプリのメッセージも読み取ります。
また、所有者に気づかれることなくスマートフォンのマイクとカメラを起動することも可能です。この機能により、スマートフォンは密かな盗聴装置と化してしまいます。このスパイウェアは、収集したデータを暗号化されたHTTPS通信を通じてプロキシサーバーへ送信します。NSO Groupは、このインフラを政府の顧客に直接貸し出しています。
NoviSpyの事例では、窃取されたデータはセルビアの治安情報庁(Security Information Agency)が保有するサーバーへ直接送られていました。Amnesty International Security LabのトップであるDonncha O Cearbhaill氏は、この2つのプラットフォームにまたがる脅威について言及しています。同氏は「SHAREによるフォレンジック調査結果は、セルビアの学生たちが、当局に拘束されている間にインストールされる侵襲的なAndroidスパイウェアツールによって、引き続き標的にされ続けていることを証明している」と述べました。さらに、最新の亜種は「セキュリティ専門家による検知を回避するための特別な工夫を凝らして新規に構築されたものだ」と付け加えています。
防御・検知に関する指針
監視リスクが高まっているApple製品のユーザーは、直ちに端末を保護する必要があります。まず、利用可能なOSアップデートは速やかに適用すべきです。ソフトウェアを最新の状態に保つことで、主要アプリケーションに存在する既知のゼロクリック脆弱性が修正されます。AppleはiPhoneを最新の状態に保つ方法について、手順を追って説明したガイドを提供しています。
加えて、リスクの高い個人は、端末上で専用の保護機能を有効にすべきです。ユーザーはiPhoneのロックダウンモードを有効化することで、複雑な構造のメッセージ添付ファイルをブロックできます。ロックダウンモードは、ブラウザの各種技術を制限し、身元不明の発信者からの着信接続要求もブロックします。
公式の脅威アラートを受け取った利用者は、自分の端末がすでに感染しているものとみなして対応すべきです。市民社会に関わる人々は、フォレンジックによる検証を受けるため、SHARE FoundationやAccess Nowといった組織に連絡することが望まれます。最後に、各組織は、国家による監視の被害に遭う職員を支援するための緊急インシデント対応計画を整備しておく必要があります。
翻訳元: https://meterpreter.org/pegasus-spyware-serbia-activist/
