Apple、110カ国のiPhoneユーザーにスパイウェア警告を送信―ロック画面通知を初導入

Appleは8月13日、個人を狙った高度なスパイウェア攻撃の標的になった可能性があるユーザーに、新たな脅威通知を送信した。対象者が所在する国は110カ国に及び、通知を受け取った人数や国名の詳細は明らかにされていない。2021年のプログラム開始以来、警告がiPhoneのロック画面へ直接プッシュ通知として配信されたのは今回が初めてとなる。

通知を受け取ったからといって、端末への侵入が成功したことが確定するわけではない。ただしAppleは、内部の脅威インテリジェンス情報と調査に基づく信頼性の高い警告であり、受信者は深刻に受け止める必要があるとしている。

■5年間の課題だった「警告の見落とし」を解消へ

Appleは2021年後半に脅威通知プログラムを開始して以来、Apple Threat Notifications（threat-notifications@email.apple.com）からのメールやiMessage、Apple Accountの管理サイト（account.apple.com）にサインインした際のバナーなどを通じて警告してきた。しかし、メールが迷惑メールに振り分けられたり、フィッシング詐欺と誤認されたりして、対象者が警告を見落とす可能性があった。

Appleの日本語サポートページでは、この種の攻撃を「金銭目当てのスパイウェア攻撃」と表記している。一般に英語では「mercenary spyware」と呼ばれ、国家機関などに高度な監視手段を提供する民間企業のスパイウェアも含まれる。

こうしたスパイウェアは、高額で複雑な攻撃手段を使って少数の人物を個別に狙う。Appleは、歴史的にジャーナリスト、活動家、政治家、外交官などが標的になってきたと説明している。代表例として、イスラエルのNSO Groupが開発する「Pegasus」を挙げているが、今回の通知がPegasusや特定の攻撃者に関係するとは明らかにしていない。

今回更新されたAppleのサポート文書によると、警告はiPhoneのロック画面と「設定」にAppleセキュリティ脅威通知として表示される。通知には「Apple detected a mercenary spyware attack targeted at your iPhone. There are actions you can take now to help protect your data and device.（Appleは、お使いのiPhoneを標的とした金銭目当てのスパイウェア攻撃を検出しました。データとデバイスを保護するために、今すぐ実行できる対策があります）」と表示される。

Apple Accountに関連付けられたメールアドレスへの通知と、account.apple.comにサインインした際のバナー表示も継続する。AppleはTechCrunchに対し、対象者が次に取るべき重要な対応を確認しやすくするため、通知のユーザー体験を更新したと説明している。

■通知の改善が組織的な調査と責任追究の起点に

今回の通知方法の刷新は、個々のユーザーが警告を見落としにくくなるだけでなく、組織的なスパイウェア攻撃を解明する調査の起点にもなり得る。

今回の通知をいち早く公に指摘したトロント大学シチズン・ラボ（Citizen Lab）のシニア研究員、ジョン・スコット＝レイルトン氏は、Appleの通知システムが個人の保護を超えた調査につながるとTechCrunchに語った。

「通知は、特定のコミュニティが標的にされていることを知らせる重要なシグナルになります。警告を受け取った人の一部が助けを求め、そこから調査が始まり、さらに多くの事例が明らかになることがよくあります」と同氏は述べている。

その例として挙げたのが、ポーランドの前政権下でPegasusが使われた問題である。野党政治家や選挙陣営関係者、市民社会の関係者らが監視対象となり、野党の選挙運動を率いていたクシシュトフ・ブレイザ上院議員も、2019年に繰り返し標的になったと報じられた。

2024年12月には、議会調査委員会への出席要請に応じなかったポーランド国内治安局の元長官ピョートル・ポゴノフスキ氏が警察に拘束され、委員会へ強制的に出席させられた。

「Appleの通知がなければ、ポーランドの選挙を巡るスパイウェア乱用の大規模な問題は明らかにならなかったでしょう」とスコット＝レイルトン氏は述べる。通知を受け取った人物がフォレンジック、つまり電子鑑識の専門機関に連絡することで、本人以外の標的や攻撃活動の広がりが判明する場合がある。

■ゼロクリック攻撃の脅威と拡大する標的層

Appleによると、金銭目当てのスパイウェア攻撃は通常のサイバー犯罪よりはるかに巧妙で、攻撃には数百万ドル規模の費用がかかることもある。攻撃手段の有効期間が短い場合もあり、検知や防御が難しい。

Pegasusなど一部のスパイウェアでは、ユーザーがリンクを開くなどの操作をしなくても成立する「ゼロクリック攻撃」が確認されてきた。メッセージアプリなどが受信データを処理する際の脆弱性を悪用し、端末への侵入を試みる手法である。

侵害に成功したスパイウェアは、端末上で復号されたメッセージや通話、保存データ、マイクやカメラなどにアクセスする能力を持つ場合がある。エンドツーエンド暗号化された通信でも、送信前または受信後に端末上で表示される情報が取得されれば、内容が読み取られる可能性がある。

Appleは個々の通知について、関係するスパイウェアの種類や攻撃者、地域を特定していない。また、通知を発する根拠の詳細は、攻撃者が検知を回避する手法を開発する助けになり得るとして公表していない。

商用スパイウェア業界はNSO Group以外にも広がっている。シチズン・ラボは2025年3月、Paragon Solutionsのスパイウェア「Graphite」に関する調査を公表し、イタリアのジャーナリストや人道支援関係者を含む市民社会の関係者が標的となった事例を報告した。調査では、複数のAndroid端末からスパイウェアが読み込まれた痕跡も確認された。

NSO Groupは米国で法的責任も問われている。米連邦地裁は、WhatsAppを利用してPegasusを送り込んだ事件についてNSO Groupの責任を認定した。2025年5月、陪審は約1億6700万ドルの懲罰的損害賠償を認めたが、その後、裁判官はこの金額を約400万ドルに減額した。

同地裁は2025年10月、NSO GroupがWhatsAppや同サービスのユーザーを標的にすることなどを禁じる恒久的差止命令を出した。命令は2026年1月28日に執行可能となった。Metaは同年6月、NSO Groupが命令の発効後もWhatsApp上でアカウントやグループを運用し、スパイウェア攻撃に関連する活動を続けたとして、法廷侮辱の認定を求める申立てを行っている。これはMeta側の主張であり、申立てに対する裁判所の判断とは区別する必要がある。

端末管理企業Jamfのシニアエンタープライズストラテジーマネージャー、アダム・ボイントン氏は、企業幹部や交渉担当者、重要なシステムへのアクセス権を持つ人物も標的になり得ると指摘する。

「金銭目当てのスパイウェアの経済構造を考えると、標的リストには企業幹部、交渉担当者、特権的なアクセス権を持つあらゆる人物が含まれるようになっています。こうした通知が業務用端末に届いた場合は、最初からセキュリティインシデントとして扱うべきです」と同氏は述べた。

■侵害事例が確認されていない「ロックダウンモード」

ロック画面のプッシュ通知からは、推奨される対処方法を確認できる。その中でも重要な対策が「ロックダウンモード」の有効化である。

ロックダウンモードは、2022年にiOS 16などで導入された任意のセキュリティ機能だ。高度な標的型スパイウェアに悪用される可能性のある攻撃対象領域を減らすため、一部のアプリ、Webサイト、接続方法、Appleサービスの機能を厳しく制限する。

Appleは、ロックダウンモードを有効にしている最中に金銭目当てのスパイウェアによって侵害された端末を、これまで確認していないとしている。アムネスティ・インターナショナルのセキュリティラボ責任者、ドンチャ・オ・カーバヒル氏も、同組織のフォレンジック分析では、このモードを有効にした端末の侵害事例を確認していないと説明している。

ただし、これは将来にわたる完全な防御を保証するものではない。ロックダウンモードは、高度な攻撃に利用され得る機能を減らし、攻撃を成立しにくくするための対策である。

ロックダウンモードでは、メッセージのリンクやリンクプレビュー、一部の添付ファイルが利用できなくなる。複雑なWeb技術の一部も制限され、過去に連絡したことがない相手からのFaceTime着信やAppleサービスへの参加依頼がブロックされる場合がある。構成プロファイルの新規インストールや、モバイルデバイス管理への新規登録もできなくなる。

iPhoneでは「設定」＞「プライバシーとセキュリティ」＞「ロックダウンモード」から有効にできる。有効化すると一部のアプリやWebサイトが通常通りに動作しなくなるため、機能上の制約も理解して使用する必要がある。

■通知を受け取った場合の対応と真偽の確認方法

Appleは、セキュリティ脅威通知を受け取ったユーザーに対し、警告を深刻に受け止め、ロックダウンモードを有効にするよう案内している。

また、非営利団体Access NowのDigital Security Helplineなど、専門家による緊急時のセキュリティ支援を利用することも強く推奨している。同ヘルプラインは24時間年中無休で相談を受け付けている。

Apple外部の支援団体は、Appleが個別の通知を送った具体的な根拠を把握していない。ただし、対象者の状況に応じたセキュリティ上の助言や、必要に応じた技術的調査を提供できる。

通知を受け取った場合は、組織のセキュリティ担当者にも速やかに連絡し、端末を不用意に初期化したりデータを削除したりする前に、専門家の指示を受けることが望ましい。初期化や端末交換によって、攻撃の確認に必要な記録が失われる可能性があるためだ。

基本的な対策としては、デバイスを利用可能な最新のソフトウェアへ更新し、Apple Accountで強力なパスワードと2ファクタ認証を使用する。端末はパスコード、Touch IDまたはFace IDで保護し、「盗難デバイスの保護」も有効にする。アプリはApp Storeから入手し、不明な送信者から届いたリンクや添付ファイルは開かない。

Appleの正規のセキュリティ脅威通知が、リンクのクリック、ファイルの開封、アプリやプロファイルのインストール、Apple Accountのパスワードや確認コードの提示をメールや電話で求めることはない。

通知の真偽を確認するには、メッセージ内のリンクを使わず、ブラウザのアドレス欄に「account.apple.com」と直接入力してサインインする。Appleがセキュリティ脅威通知を送っている場合は、サインイン後のページ上部に通知が表示される。

■累計150カ国以上に拡大した通知プログラム

Appleは2021年以降、攻撃を検知するたびに年数回の脅威通知を送信しており、これまでに合計150カ国を超える国のユーザーへ通知している。

今回の通知は110カ国の対象者に送られた。TechCrunchが2025年4月に報じた前回の大規模な通知は100カ国が対象だった。Appleは今回の対象人数、対象国の一覧、関係するスパイウェアや攻撃者を公表していない。

Appleは、脅威通知について絶対的な確実性を保証できるものではないとしながらも、ユーザーが個人を狙った金銭目当てのスパイウェア攻撃の標的になったことを示す、信頼性の高い警告だと説明している。

一方、この種の攻撃は膨大な費用と高度な技術を必要とし、ごく少数の人物を選んで実行される。大多数のiPhoneユーザーが対象になるものではない。

今回の変更により、対象者はメールやApple Accountのページだけでなく、iPhoneのロック画面と「設定」でも警告を確認できるようになった。受信者が早い段階でロックダウンモードを有効にし、専門機関へ相談できるかどうかが、本人の保護と攻撃活動の解明の双方で重要になる。

■注目ポイントQ&A

●Appleからの脅威通知は本物ですか？フィッシング詐欺の可能性はありませんか？

Appleは脅威通知をiPhoneのロック画面と「設定」、Apple Accountに関連付けられたメールアドレス、account.apple.comのページ上部に表示します。正規の通知が、リンクのクリック、ファイルの開封、アプリやプロファイルのインストール、パスワードや確認コードの提示を求めることはありません。真偽を確認する場合は、通知内のリンクを使わず、ブラウザからaccount.apple.comへ直接アクセスしてください。

●通知を受け取った場合、iPhoneはすでに侵害されているのですか？

必ずしも侵害が成功したことを意味しません。Appleが金銭目当てのスパイウェア攻撃に合致する活動を検知し、そのユーザーが個別に標的となった可能性が高いと判断したことを示します。ただし、信頼性の高い警告であるため、ロックダウンモードを有効にし、専門家へ相談するなどの対応が必要です。

●ロック画面への通知方式の変更は、個人以外の調査にどう影響しますか？

警告を確実に認識したユーザーがAccess Nowやシチズン・ラボなどへ相談することで、端末の調査が始まり、同じ攻撃活動で狙われた別の人物や攻撃インフラが判明する場合があります。個別の警告が、組織的な監視活動を解明する手掛かりになるためです。

●ロックダウンモードとは何ですか？Pegasusのようなスパイウェアを防げますか？

ロックダウンモードは、一部のメッセージ機能、Web技術、接続、参加依頼などを制限し、高度な標的型スパイウェアに悪用され得る攻撃対象領域を減らすセキュリティ機能です。Appleは、同モードの有効中に金銭目当てのスパイウェアに侵害された端末を確認していないとしています。ただし、あらゆる攻撃を将来にわたって完全に防ぐことを保証する機能ではありません。

●通知を受け取っていなくても、企業の役員や機密情報を扱う担当者は警戒すべきですか？

企業幹部、重要な交渉の担当者、機密性の高い情報やシステムへのアクセス権を持つ人物も、高度な監視の標的になり得ます。自身の立場や活動内容からリスクが高いと考えられる場合は、通知を受け取っていなくてもロックダウンモードを利用できます。業務用端末については、組織のセキュリティ担当者と対応手順を事前に確認しておくことが重要です。

元記事: Apple Delivers First Lock Screen Spyware Warning to Users in 110 Countries