Apple、標的となったiPhoneユーザーに対して新たな傭兵型スパイウェアアラートを発出

Why it matters

An Apple warning indicates individual targeting by a well-funded spyware operation, requiring account verification and specialized incident response.

Appleは8月13日に新たな脅威通知の一斉送信を行い、選ばれたiPhoneユーザーに対して傭兵型スパイウェアに個別に標的にされたと警告したと、University of Toronto's Citizen Labの上級研究員であるJohn Scott-Railton（@jsrailton）が伝えています。

Citizen LabのTargeted Threatsチームを率いるScott-Railtonは、X上の6件の投稿からなるスレッドで受信者にただちに専門家のセキュリティ支援を求めるよう呼びかけました。彼は、NSO Groupが開発したスパイウェアであるPegasusを、政府関係の監視活動で用いられる技術の一例として挙げています。

Appleはまた8月13日に脅威通知に関するガイダンスを更新しました。Appleはこれらの警告を、個人がその身元や仕事のために個別に標的にされたという高い確度のアラートであると説明しています。ジャーナリスト、活動家、政治家、外交官などが歴史的にこうした通知を受け取ることの多いグループです。

この警告はスパイウェアのベンダー、攻撃を実行したオペレーター、あるいはAppleの検出を引き起こした活動を特定するものではありません。Appleは、これらの詳細を公表するとスパイウェアのオペレーターが手法を変えて検出を逃れるのに役立つ可能性があると述べています。

Appleを通じてアラートを確認する

受信者はまず、メッセージ内のリンクや添付ファイルに触れずに通知の正当性を確認するべきです。Appleによれば本物の警告は対象ユーザーのiPhone上に直接表示され、Lock ScreenやSettingsにも表示されます。Appleはまた、ユーザーのApple Accountに関連付けられたメールアドレスにもメールを送信します。

サインイン後、account.apple.comの上部に警告のコピーが表示されるはずです。そこやiPhoneのSettingsに警告が表示されない場合、そのメッセージはなりすましの試みである可能性があり、セキュリティの専門家に確認してもらうべきです。

Appleの脅威通知は受信者にファイルを開くこと、アプリや構成プロファイルをインストールすること、Apple Accountのパスワードを開示すること、またはメールや電話で確認コードを提供するよう求めることは決してありません。この違いは重要です。なりすましのスパイウェア警告は、既に監視下にあると信じている人に対してフィッシングリンクを送るためのもっともらしい口実を攻撃者に与えてしまいます。

Appleは2021年以降、年に数回これらの通知を送信しており、150カ国以上のユーザーに届いていると述べています。Appleは8月13日の一斉送信で何人、何カ国が含まれていたかは明らかにしていません。

専門的な支援を求める

Scott-Railtonは、受信者が単独で対処することを避けるよう強く促しました。Apple自身のガイダンスは、通知を受けたユーザーをAccess Now（@accessnow）が運営するDigital Security Helplineに案内しており、同ヘルプラインはジャーナリスト、活動家、人権擁護者などの適格な市民社会メンバーに対し、24時間体制での無料インシデント対応を提供します。

Access Nowは個別のセキュリティガイダンスを提供し、疑わしいデバイスやメッセージの調査を支援できます。非営利団体である同組織はAppleの検出プロセスに参加しておらず、Appleが特定のアカウントを通知対象に選んだ理由についての情報を受け取ることはありません。

ユーザーは警告を保存し、影響を受けたデバイスの消去、交換、または大幅な変更を行う前に助言を求めるべきです。専門家は何が起きたかを判断し、ユーザーの業務、連絡先、露出度に基づいて推奨手順を示すためにデバイスの記録を必要とする場合があります。

Lockdown Modeを有効にする

AppleとScott-Railtonは、通知を受け取った人や高度な標的にされる合理的な理由がある人に対して、Lockdown Modeを推奨しています。オプション設定であるこのモードは、メッセージの添付ファイル、複雑なウェブ技術、見知らぬFaceTime通話、サービスの招待、デバイス接続、構成プロファイルを制限することで、攻撃者が利用できるデバイス機能を減らします。

iPhoneまたはiPadでは、Settings > Privacy & Security > Lockdown Modeで有効にできます。有効化後にデバイスは再起動します。Appleはまずすべてのデバイスを入手可能な最新ソフトウェアに更新し、対応するiPhone、iPad、Macで個別にLockdown Modeを有効にすることを推奨しています。iPhoneで有効にすると、ペアリングされたApple Watchでも同時に有効になります。

Lockdown Modeは一部のウェブサイト、メッセージ、Appleサービスの動作を変更します。これらの制限は意図的なものであり、高度なスパイウェア開発者が侵入口として利用し得る機能を削除します。

Appleの警告を受け取っていないが、フィッシング、アカウントの乗っ取り、データ収集に対する広範な露出を見直したい人には、Consumer Reports Security Plannerが個別化されたセキュリティ推奨事項を生成します。しかし、確認されたAppleの脅威通知は、通常のセキュリティチェックリストではなく直接のインシデント対応支援を必要とします。