Appleは、iOS 17.3以降、「リンクを知っている全員」で共有されたiCloudの写真とファイルについて、有害コンテンツの検査を開始します。このポリシーは、バージョン17.3以降のiPadOS、macOS、visionOSにも適用されます。Appleは、誰でもアクセスできる公開共有リンクと、招待した特定の相手に限定されたコンテンツとを区別しています。
この変更は、2026年11月3日に公開されたAppleのサポート文書に記載されています。Appleによると、この共有オプションを選ぶと、選択した項目は、Appleを含め、リンクを知る誰でもアクセスできる状態になります。文書は対象コンテンツの例として、iCloud写真に保存された写真と、iCloud Driveに保存されたファイルを挙げています。
公開リンクで変わる暗号化の境界
技術面で注目すべきは暗号化です。Appleは、「リンクを知っている全員」オプションで共有された項目は、共有を可能にするため、エンドツーエンド暗号化の対象外になると説明しています。これは、所有者や他の参加者が高度なデータ保護を有効にしている場合でも変わりません。高度なデータ保護は、エンドツーエンド暗号化をiCloudのより多くのデータカテゴリに拡張する任意の機能です。
Cyber security news
この点が重要なのは、高度なデータ保護が通常、保護された情報の復号を信頼できるデバイスに限定しているためです。しかし、公開リンクで共有すると、その項目だけは例外になります。アカウント単位の保護を有効にしていても、この例外は覆りません。したがって、今回のAppleの通知が対象とするのは、公開状態の素材に対する検査です。iCloud上のすべての非公開の写真、書類、デバイスバックアップを一律にスキャンするものではありません。
「リンクを共有」を選んだユーザーは、「選択した人のみ」を指定できます。この場合、アクセスは招待または承認した個人に限られます。さらにAppleは、リンク共有を「コピーを送信」とも区別しています。今回の発表は、有害コンテンツの検査を「リンクを知っている全員」オプションに限定して結び付けています。すべての共有方法が同じレベルの検査を受けるとは示唆していません。
有害コンテンツがアップロードされた場合、Appleはそれを移動、拒否、変更、削除する権利を留保しています。措置は個々のファイルにとどまらない可能性があります。Appleは、Apple Accountをブロックまたは無効化できるほか、関連付けられたメールアドレスや電話番号を使った別アカウントの作成も禁止できます。
Appleはまた、必要に応じて法執行機関が関与する場合があるとも述べています。ただし、通知には、有害コンテンツのカテゴリの定義も、検出技術の特定も、審査手順の説明もありません。システムがデバイス上でのスキャン、特定の機械学習モデル、あるいは特定のハッシュ照合方式を使っていると結論づける技術的根拠も示されていません。機能の提供状況は、地域によって異なる可能性もあります。
今回の発表は、英国における高度なデータ保護の変更や、暗号化されたiCloud情報へのアクセスを求める政府の要求に続き、Appleのクラウドプライバシー設計への注目をさらに高めるものです。これらの論争は暗号化されたデータへのアクセスをめぐるものでした。一方、今回の通知が扱うのは、ユーザーが制限なしのリンクで意図的に公開したコンテンツです。対象範囲は大きく異なります。
この発表を検討するセキュリティチームにとって、文書で示された境界線は、各項目に設定された共有権限です。所有者が高度なデータ保護を有効にしているかどうかだけでは決まりません。
SOCにアラートの文脈を提供し、インシデントを迅速に止めましょう。1万6,000のSOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/apple-to-scan-publicly-shared-icloud-photos-and-files/
