画像: ジェームズ・マーティン/CNET
iPhoneは、特にAndroid端末と比較して、その厳格なセキュリティとプライバシー管理で常に高く評価されてきました。しかし今週、犯罪者やテロリストの携帯電話をハッキングするために利用されていたとされるスパイウェアプログラムが、一部の独裁政権によってジャーナリスト、活動家、その他の著名人のiPhoneに不正アクセスするために悪用されていたことが明らかになり、その評判は大きく傷つきました。
参照: 新しい iPad、iPhone、Mac に移行する方法 (TechRepublic Premium)
アムネスティ・インターナショナルは、ジャーナリスト支援団体「フォービドゥン・ストーリーズ」と共同で実施した分析結果を発表しました。調査結果によると、監視会社NSOグループが販売するスパイウェア「ペガサス」は、iOSのiMessageアプリを介したゼロクリック攻撃を通じてiPhone 11およびiPhone 12に感染する能力を持っていたことが分かりました。
ワシントンポスト紙によると、アムネスティ・セキュリティ・ラボは5万件以上の電話番号のデータ漏洩に基づき、67台のスマートフォンを分析し、そのうち37台でペガサスの感染または感染の試みを発見した。
アムネスティ・インターナショナルによると、数千人のAndroidスマートフォンユーザーも標的にされたという。しかし、iOSとは異なり、GoogleのAndroidオペレーティングシステムは、スパイウェア「ペガサス」の感染を検知するために必要なログを保持しない。iPhone 11と12には、2021年5月24日にリリースされた最新のアップデート、iOS 14.6が搭載されていた。
NSOグループが政府機関に販売するソフトウェア「ペガサス」は、セキュリティ企業Lookoutによってモバイルマルウェアの一種とみなされており、WhatsAppやSignalなどのアプリからGPS座標、テキストメッセージ、写真、メール、暗号化されたチャット情報を取得することができます。また、ペガサスはユーザーの知らないうちに通話を録音したり、マイクとカメラをオンにしたりすることも可能です。
2016年にLookoutとCitizen Labによって発見されて以来、Pegasusはより巧妙になっています。このプログラムは、ユーザーの操作を一切必要とせずに標的のデバイス上で実行できるようになりました。つまり、スパイウェアの運営者は、SMS、メール、ソーシャルメディア、特定のアプリを通じて、このスパイウェアを直接スマートフォンに送信できるのです。
Pegasusは、その攻撃者に狙われた人々にとって深刻な脅威のように聞こえます。しかし、一般のiPhoneユーザーのセキュリティとプライバシーにとって、どれほど深刻な脅威なのでしょうか？
一方には、アムネスティとフォービドゥン・ストーリーズの調査結果を批判してきたNSOグループがある。同グループはウェブサイトの更新情報で、報告書は「誤った憶測と裏付けのない理論に満ちている」と述べ、虚偽の主張を否定している。
NSOは、犯罪やテロ行為を防止し人命を救うという唯一の目的のため、審査済みの政府の法執行機関および情報機関にのみ技術を販売していることを強調したいと思います。NSOはシステムを運用しておらず、データへのアクセス権もありません。
一方、Appleは主力スマートフォンのセキュリティを守り、コアメッセージングアプリがこの種の脆弱性に対してどのように脆弱になる可能性があるのかを説明しなければならない立場に立たされています。TechRepublicが入手した、Appleのセキュリティエンジニアリング＆アーキテクチャ責任者であるイヴァン・クルスティッチ氏による以下の声明は、Pegasusの悪意ある利用を非難しつつも、このインシデントが一般の人々に影響を及ぼすものではないと描写するという、微妙なバランスを保っています。
Appleは、ジャーナリスト、人権活動家、そして世界をより良い場所にしようと努力する人々に対するサイバー攻撃を断固として非難します。Appleは10年以上にわたり、セキュリティ革新において業界をリードしてきました。その結果、セキュリティ研究者はiPhoneが市場で最も安全でセキュリティの高いコンシューマー向けモバイルデバイスであると認めています。今回のような攻撃は非常に巧妙で、開発には数百万ドルの費用がかかり、効果の持続期間が短い場合が多く、特定の個人を標的とするために利用されます。これは、これらの攻撃が圧倒的多数のユーザーにとって脅威ではないことを意味しますが、Appleはすべてのお客様を守るためにたゆまぬ努力を続け、お客様のデバイスとデータを保護する新たな保護機能を継続的に追加しています。
しかし、Appleが「常に新たな保護機能を追加している」と述べていることは、同社がこれをセキュリティ上の脅威と認識しており、将来のiOSアップデートで修正に取り組んでいる可能性を示唆していると言えるでしょう。少なくとも、Appleはこの問題を真剣に受け止めるべきです。
「iOSのiMessageサービスは、セキュリティの観点から見ると明らかに少々厄介な状況にあります」と、セキュリティ企業VectraのCTO、オリバー・タバコリ氏は述べています。「AppleはiMessageに次々と機能を追加してきましたが、どの機能にも悪用可能な脆弱性が潜んでいます。また、iMessageは既知の連絡先からのメッセージと全く知らない人からのメッセージの受信方法を区別していないため、どこからでも悪用される可能性があります。」
そして、もう一方の側には、アムネスティ・インターナショナル、フォービドゥン・ストーリーズ、ニュース出版物、アナリストがおり、彼らは、これは特定の技術の憂慮すべき使用と乱用であると見ているものの、その技術が悪意を持って設計されたかどうかについては意見が分かれている。
「NSOグループは、世界で最も抑圧的な政府や指導者たちにスパイウェアを販売していた疑いがある」と、コンパリテックのプライバシー擁護者ポール・ビショフ氏は述べた。「NSOグループは事実上、武器商人であり、誰に武器を販売できるかについてはほとんど制限がない。」
しかし、コンパリテックのセキュリティ専門家ブライアン・ヒギンズ氏は、NSOグループがペガサスソフトウェアの導入を管理するために最善を尽くしていると信じており、製品の目的を自分の目的のために変更したいと考える消費者は常に存在するだろうと付け加えている。
その間、十分な警戒心と十分な行動力を持つ携帯電話所有者は、アムネスティが作成したモバイル検証ツールキット（MVT）をダウンロードしてインストールすることができます。GitHubから入手できるMVTは、AndroidデバイスのデータとiPhoneのバックアップ記録を分析し、潜在的な侵害の兆候を探すことができます。
