サイバー犯罪者がスパイウェアを使って大規模にデバイスへ感染を広げており、一般の人々のシステムが標的となるケースが増えています。脅威ハンティング企業iVerifyが公開した新たなレポートで明らかになりました。
同社によると、同社が提供する無料のオンライン診断で一般消費者のデバイスをスキャンしたところ、1,000件あたり1.07件の割合でスパイウェア感染が見つかりました。
企業向けでは感染率が低く、1,000件のスキャンあたり0.7件でした。iVerifyは、企業では強制的なパッチ適用、デバイス上の検知、ネットワークセキュリティ対策が実施されていることが差につながったとみています。
共同創業者のロッキー・コール（Rocky Cole）氏は、検査した消費者向けデバイスの正確な台数は明かしませんでしたが、数十万台規模のスキャンを実施したと述べました。同氏によると、Fortune 500企業の平均的な企業では、デバイスへの感染が年間約65件発生しています。
特筆すべきは、感染が確認された企業の従業員の多くが、幹部ではなく一般社員だった点です。
「今年はiOSスパイウェアが主流となり、誰にとっても無縁ではなくなった年だと言えます」とコール氏は語ります。「現在、iPhoneを狙ってスパイウェアを使う最大の脅威アクターは、政府ではなくサイバー犯罪者です。しかも、無差別に攻撃してくる点が問題です」
iVerifyが検知したデバイス感染の多くは、認証情報や暗号資産の窃取に使われていました。高度な商用スパイウェアが悪用される場合にしばしば見られる、政治的な動機に基づく悪用とは性質が異なります。
iVerifyのレポートによると、攻撃者は流出したiOS向けエクスプロイトキットを使い、「大規模に活動し、オンライン広告を通じて攻撃を仕掛け、一般の従業員に到達し、防御側が対応する前に痕跡を消していました」。
レポートによれば、検知全体の約75%は、犯罪者がCorunaまたはDarkSwordのエクスプロイトキットを展開したものでした。残る25%は、Pegasusなどのメルセナリー（傭兵型）スパイウェアによる感染でした。
DarkSwordは、JavaScriptベースの高度なフルチェーン型iOSエクスプロイトキット兼スパイウェアフレームワークで、3月に初めて公になりました。
DarkSwordは「水飲み場型（ウォーターホール）」攻撃として展開され、リンクをクリックしなくても感染するおそれがあります。侵害されたWebサイトにWebブラウザーでアクセスするだけで、攻撃が発動する場合があります。
Corunaも同じくWebベースの攻撃で配布され、悪意あるサイトを訪れるとWebKitやカーネルの脆弱性が突かれます。このスパイウェアフレームワークは防衛関連の請負企業から盗まれたもので、サイバー犯罪者が中国語の偽の金融サイトを使い、4万2,000台を超えるiOSデバイスから暗号資産を盗む目的で利用してきました。
Google Threat Intelligence Groupは2025年2月にCorunaエクスプロイトキットを初めて発見しました。その後、昨年を通じて徐々に拡散しました。
Corunaは、L3Harris Trenchantの元幹部の行動と直接結びついています。この元幹部はエクスプロイトを盗み、暗号資産での支払いと引き換えにブラックマーケットで販売したとして有罪を認めました。元幹部のピーター・ウィリアムズ（Peter Williams）受刑者は、2026年2月に禁錮7年の判決を受けています。
iVerifyのレポートは、DarkSwordと同様にCorunaも「モバイル向けエクスプロイトフレームワークが、ごく限られた機密性の高い諜報活動から、より広い範囲へ流通するようになった」という「大きな潮流」の一部だと指摘しています。
レポートによると、DarkSwordやCorunaに感染したデバイスの所有者は、Appleからの脅威通知を受け取っていませんでした。両エクスプロイトフレームワークは、ゼロクリックで攻撃するPegasusのような高度な商用スパイウェアと同等の水準でスマートフォンを乗っ取れます。メッセージ、写真、メールの閲覧が可能になるほか、マイクやカメラを起動することもできます。違いは、DarkSwordとCorunaが幅広い層に入手可能である一方、Pegasusなどの商用製品は国家レベルの顧客にしか販売されていない点です。
サイバーキネティクス企業0rcusの共同創業者兼CEOであるニック・アダムズ（Nic Adams）氏は、調査で示された感染率について、次のように話します。「900人に1人という数字は、標的を絞った攻撃ではなく、地引き網のような無差別攻撃を示す数字です。メルセナリースパイウェアはもともとメスのように精密に使う道具として作られましたが、今では網として使われています」
レポートによれば、Androidでも同様の変化が起きています。安価で導入しやすいスパイウェアキットが大量に出回り、攻撃者が遠隔から簡単にスマートフォンを乗っ取れるようになっているためです。
「こうした攻撃の主な目的は、知的財産の窃取や貿易交渉での優位確保ではありません。単なるサイバー犯罪です。すべての従業員、そしてすべての人が、リスクにさらされる可能性があります」とコール氏は述べています。
同社の研究者は、今年は無料のデバイス診断を利用する一般消費者の数が4倍に増えたため、検知されるスパイウェア感染率は低下すると予想していたと、コール氏は説明します。2年前は、スパイウェアに感染している可能性を疑う理由のある著名人やエリート層が、デバイスの検査を受けるケースの多くを占めていたためです。
2024年12月に公開されたiVerifyのレポートでは、スキャンしたデバイス1,000台あたり2.5件のPegasus感染が確認されました。当時、CorunaとDarkSwordはまだ市場に出回っておらず、高度な商用スパイウェアを使った国家支援型の攻撃が圧倒的に主要な脅威とみなされていました。
「企業はVIPに焦点を当てた脅威モデルを見直し、組織内の全員が取り組むべき問題だと想定する必要があります」とコール氏は述べています。
翻訳元: https://therecord.media/spyware-cyber-crime-iverify
