Axiosに共有された新たな調査によると、ハッカーは被害者が悪意のあるリンクをクリックしなくてもiPhoneにスパイウェアを感染させる新たな方法を見つけている可能性がある。この発見は、ウェブページを読み込むだけでデバイスが危険にさらされる可能性があるゼロクリック型iPhoneスパイウェア閲覧における懸念すべき傾向を示している。

報告書から入手できる詳細は限られているため、本記事は公表された内容に限定し、それが実際に何を意味するのかを説明する。

閲覧だけでiPhoneが感染する仕組み

この調査の核心的な主張は、ハッカーが被害者に悪意のあるリンクをクリックさせることなくiPhoneにスパイウェアを配信できるというものだ。典型的なフィッシング攻撃では、ユーザーはリンクをタップする、ファイルを開く、プロンプトを承認するといった操作を行う必要がある。今回の場合、そのステップがプロセスから取り除かれていると報じられている。

これが重要なのは、ほとんどのセキュリティ助言がユーザーの行動に焦点を当てているからだ。不審なリンクをクリックしない、未知の添付ファイルを開かない——こうした習慣は依然として有用だが、誰かが通常通りブラウジングしている間にバックグラウンドで機能するよう設計された攻撃に対しては、保護効果が低くなる。

ブラウザはこの種の攻撃にとって自然な標的だ。ブラウザはインターネット全体から届く信頼できないコンテンツ——ページ、スクリプト、画像、広告——を絶えず処理している。攻撃者がそのコンテンツの処理方法に欠陥を見つければ、罠を仕掛けたページがデバイス上でコードを実行できる。ブラウザ内でマルウェアを組み立てるハッカーに関する我々のレポートで、攻撃者がブラウザベースの配信方法を変えている様子を取り上げたが、同じ原則がここにも当てはまる。つまり、ブラウザ自体が配信経路となるのだ。

我々が確認した要約には、具体的な脆弱性、脅威グループ、被害者の名前は記載されていないため、それらについて推測することはしない。

このスパイウェアで最もリスクが高いのは誰か

この種のスパイウェアは歴史的に、大量感染ではなく標的型監視と関連付けられてきたが、調査要約は今回のケースで誰が標的になっているかを述べていない。特定の被害者について主張することはできない。

言えることは、攻撃経路が通常のブラウジングを通るため、iPhoneでウェブを閲覧する人は誰でも一般的なカテゴリーのリスクにさらされているということだ。ジャーナリスト、活動家、経営幹部、政府職員など著名度の高い人々は、リソースの豊富な攻撃者の関心を引く可能性が高いため、一般的に追加の予防措置を取る理由が多い。

ほとんどの人にとって、実際のリスクはこれらのグループよりも低い可能性が高いが、教訓は同じだ。最も安全な前提は、未パッチのデバイスは弱いデバイスであるということだ。

VPNが防げることと防げないこと

ここで期待値を現実的にする必要がある。VPNはデバイスとVPNサーバー間の通信を暗号化し、訪問するサイトからIPアドレスを隠す。これは公共Wi-Fiでのプライバシーや、インターネットプロバイダーが見られる範囲を制限する上で価値がある。

しかしVPNは、ブラウザやオペレーティングシステムの脆弱性を修正するものではない。悪意のあるページがiPhoneのウェブコンテンツ処理方法の欠陥を悪用する場合、そのエクスプロイトは接続が暗号化されているかどうかにかかわらず、選択した接続を通じて到達する。VPNトンネルは他のページと同様にそのページをデバイスに運ぶ。

VPNが既知の悪意あるドメインのオプションのブロックを含む場合、間接的な助けになる可能性があるが、それはサービス次第であり、パッチ適用の代替にはならない。我々の用語集のDNS over HTTPSの項目で説明されている暗号化DNSは、第三者からルックアップを秘匿するが、同様にブラウザのエクスプロイトを防ぐものではない。

要するに、VPNはプライバシーツールであり、ゼロクリック型エクスプロイトに対する防御ではない。ソフトウェアアップデートが主な防御策だ。攻撃者がブラウザの欠陥を連鎖させる方法の同様の例については、ChromeとWindowsのゼロデイを悪用する中国のハッカーに関する報道を参照されたい。

今すぐiPhoneを保護する手順

脆弱性が存在するかどうかは制御できないが、攻撃者にとってそれが有用となる期間を短縮することはできる。

  • 最新のiOSアップデートをインストールする。 セキュリティパッチはブラウザベースのエクスプロイトに対する最も直接的な保護だ。
  • 自動アップデートをオンにする。 設定→一般→ソフトウェアアップデートに進み、自動アップデートを有効にして遅れを取らないようにする。
  • 高リスクの場合はロックダウンモードを検討する。 Appleのロックダウンモードはデバイスの攻撃対象領域を減らすオプション設定だ。一部の機能が制限されるため、全員ではなく脅威プロファイルが高い人に適している。
  • iPhoneを時々再起動する。 これは一般的な衛生習慣であり、除去の保証ではない。
  • アプリを最新の状態に保ち、使っていないものは削除する。

これがあなたにとって意味すること

重要なポイントは、「不審なリンクをクリックしない」だけではもはや十分ではないということだ。調査が正しければ、通常のブラウジングが攻撃チェーンの一部となり得る。だからといって、スマートフォンの使用をやめたりパニックになったりする必要はない。アップデートの習慣がこれまで以上に重要であり、VPNをスパイウェアに対する盾ではなくプライバシーの一層として扱うべきだということだ。

結論

ゼロクリック型iPhoneスパイウェア閲覧は、ブラウザがあらゆるデバイスの中で最も露出した部分の一つであることを思い出させる。今日最新のiOSアップデートをインストールし、自動アップデートをオンにし、標的になる可能性があると思うならロックダウンモードを有効にしよう。ブラウザベースの攻撃の仕組みについてより詳しい文脈は、ブラウザ内マルウェア組み立てとChromeゼロデイ悪用キャンペーンに関する記事をお読みください。