iPhoneのスパイウェア、クリックなしで感染の恐れ　研究者が警告

iPhoneユーザーが、Instagramの広告をスクロールして通り過ぎただけで、何もクリックしていないのにスパイウェアに感染したと報じられています。

モバイルセキュリティ企業のiVerifyとWebサイトセキュリティ企業のReport URIの研究者らは、通常のWebブラウジングを支える基盤を悪用し、脆弱なiPhoneを狙う攻撃キャンペーンを確認しました。 

Axiosが報じた事例では、金融機関の従業員のiPhoneが、Instagram上のサッカー関連広告をスクロールして通り過ぎただけで感染しました。この従業員は広告をクリックしていないとされています。高度なスパイウェア攻撃は、被害者が不審なリンクをクリックしたり、悪意あるファイルをダウンロードしたりしなくても成功することがある、という厄介な現実を示す事例です。

スパイウェア攻撃の仕組み

この研究では2種類の異なる攻撃手法が説明されています。1つは期限切れのWebサイトドメインを悪用する「DeadTag」、もう1つは悪意あるInstagram広告が関わる別の事案です。

Report URIが調査したDeadTagでは、攻撃者が期限切れドメインを購入します。これらのドメインは、正規のWebサイトが分析ツールなどのサードパーティ製スクリプトの読み込み先として、今も参照しているものです。攻撃者はドメインを乗っ取ることで、サイトの訪問者に悪意あるコードを配信できます。

研究者らは、この攻撃をCorunaとDarkSwordなどのエクスプロイトキットと関連付けています。これらのキットは複数の脆弱性を組み合わせ、影響を受けやすいiOSデバイスを侵害します。攻撃が成功すると、セキュリティ保護を回避してスパイウェアを仕込まれ、保存された認証情報や暗号資産関連データなどの機密情報にアクセスされるおそれがあります。

もう1つのInstagramの事案は、iVerifyが調査したものです。金融機関の従業員がワールドカップの広告をスクロールして通り過ぎた際に、iPhoneが感染したと伝えられています。研究者らはこの攻撃をDarkSwordの亜種と関連付けており、被害者は広告をクリックしていないとされています。

両者の違いは、悪意あるコンテンツが被害者に届く経路にあります。DeadTagは放置されたサードパーティ製Webサイトへの依存関係を悪用します。一方、Instagramの事案では悪意ある広告コンテンツが使われました。

どちらの事例も、通常のブラウジング中に読み込まれるコンテンツを通じて、ユーザーが不審なリンクを操作しなくても、脆弱なデバイスが侵害されうることを示しています。

何もしないことがリスクになるとき

多くのサイバーセキュリティ上の推奨事項は、オンラインでユーザーがすべきこと、すべきでないことに重点を置いています。 

スパイウェア対策では、フィッシングリンクを避けるよう勧めるのが通例です。フィッシングは、攻撃者が被害者をだましてマルウェアにさらす一般的な手口です。

しかし、脅威アクターは手口を変え続けています。今回の事例で使われたマルバタイジングやドライブバイといった攻撃手法自体は、新しいものではありません。 

問題なのは、これらを組み合わせると、多くのサイバーセキュリティ上の推奨事項が通用しなくなり、最も注意深いユーザーでさえ侵害されうる点です。

このことは、不審な動きを見抜く責任をユーザーに負わせすぎる助言の限界を浮き彫りにしています。

悪意あるコードが自動的に読み込まれる場合、結果を左右するのは、ユーザーが危険な判断をしたかどうかだけではありません。デバイスの脆弱性や、コンテンツを配信するシステム側の弱点にも左右されます。

iPhoneユーザーがリスクを減らす方法

これらの攻撃は、被害者が悪意あるリンクをクリックしなくても成立する可能性があります。それでも、iPhoneユーザーは露出を減らすための対策を講じられます。

まず、このマルウェアはデバイスのiOSバージョンを確認し、どのエクスプロイトが有効かを判断します。確認されたキャンペーンは主に古く脆弱なバージョンを標的としています。研究者らは、iOS 26や27向けにツールを適合させようとする試みも確認しましたが、その新しいコードの大半は機能していないとされています。

最新のブラウザーには、既知の悪意あるWebサイトをブロックし、エクスプロイトを困難にするセキュリティ機能も備わっています。たとえばSafariはSafe Browsingで、特定済みの悪意あるドメインをブロックします。ブラウザーやOSに組み込まれた保護機能が、ドライブバイ攻撃を成功前に阻止できる場合もあります。 

ただし、こうした対策であらゆる新種のエクスプロイトを防げる保証はありません。

最も効果的なのは、iOSとブラウザーを最新の状態に保ち、既知の脆弱性にパッチを適用しておくことです。標的型攻撃を受けるリスクが高いiPhoneユーザーは、Appleのロックダウンモードの利用も検討できます。高度なエクスプロイトが依存しうる一部の機能を制限する仕組みです。

こうした予防策ですべての脅威をなくせるわけではありません。それでも、攻撃者に与える機会を減らすことはできます。今回報告された事例は、セキュリティが不審なリンクを避けるだけでは成り立たない理由を示しています。脆弱性が悪用可能なまま残っていれば、見慣れたプラットフォームや正規のWebサイトも攻撃経路になりうるのです。

関連ニュース：1Passwordは、AIエージェントがユーザーのパスワードを公開することなくオンラインアカウントにログインできる機能を導入しました。ただし、サインイン後にエージェントがアクセスできる範囲や実行できる操作については、懸念が残っています。