毎日のようにやってくる、迷惑メール
おかげさまで、Gamlが賢が賢くなったので少しは減りましyたが、それでも
「来る時は来ます」
メールの内容は、
「投資案件」「アパート経営」などの情報商材系
「大人の出会い」「不倫なんとか！！」などのエロ系
などがほとんどです。
中には、「５００万円差し上げます」なんて
「誰が引っかかるんだこんなメール」
と思うのですが、案外メールのリンク先をクリックしてしまうんですね。
今回のIT小僧の時事放談は、
iPhoneだって 乗っ取られる スパイウェア「Exodus」の驚異
と題して、セキュリティでは完璧なはずのiPhoneを狙った犯罪について
小難しい話をわかりやすく解説しながらブログにまとめました。
最後まで読んでいただけたら幸いです。
スポンサーリンク
目次
スパイウェア
スパイウェアとは、スマートフォンやパソコンなどにアプリとして忍び込み、忍び込んだ先の住所録、通信履歴、メール、写真などの情報を抜き出して、スパイウェアを作った犯人のサーバーに送信するというものです。
また、中には、スマートフォンカメラやマイクを勝手に操作してしまうような高度なアプリも見つかっています。
近年、市民の監視やハッキングのためのツールを国家、政府、公的機関に提供している企業が現れました。
映画んもなったスノーデン事件のようなものです。
このツールの使っている技術を使った高度なスパイウェアが、出回り始めています。
アマチュアが、作ったものと違い見つけることも難しく、非常に厄介なものです。
Exodus
Exodus（えくそだす）というスパイウェアが、Androidアプリが、登録されている「Google Play Store」で３月に見つかりました。
Exodusはインストールされると、写真、動画、録音記録、連絡先といったあらゆるデータにアクセスして取得したものを特定のサーバーに送ります。
また、位置情報を確認、マイクをハッキングすることで通話の盗み聞きも可能になるという。
Androidの場合、「Google Play Store」に登録してあったものが見つかったのですが、問題は、iPhone版も存在していたという事実です。
強固なApp Store
iPhone/iPadの場合、提出したアプリをAppleが徹底的に調査して、問題がないものだけをApp Storeに登録されます。
iPhone/iPadは、AppStoreからしかアプリがダウンロードできないめに、「iPhoneはセキュリティに強い」と言われています。
今回のExodusは、シンガポールで開かれている
「Kaspersky Security Analyst Summit」で、サイバーセキュリティ企業LookoutがExodusのiOS版を発見したと報告してわかったものです。
その内容は、AppStoreを通さないでiPhoneにインストールしてしまうという技術でした。
巧妙な罠
Exodusは、イタリアの通信キャリア「Wind Tre」とトルクメニスタンの「TMCell」のサイトの偽物をつくり、そこに Exodus のダウンロードさせる仕組みになっていました。
Android版は、「Google Play Store」にリンクを張っていただけなのですが、問題は、iPhone版です。
iPhoneの場合、App Store以外では、アプリをインストールできないのですが、例外があります。
例えば、企業内だけで使うアプリに対しては、App Storeで公開するわけにはいかないため、特殊な方法を使います。
AndroidもiPhoneのアプリには証明書と呼ばれる身元を証明したファイルを組み込むことが必要となります。
仕組みについては、真似される可能性もあるので詳細は伏せますが。この２つの機能を使ってiPhoneの中にExodusを忍び込ませることができてしまいました。
ただ実害が、どこまで或るかについては、不明です。
プロの仕業？
発見したのは、Lookoutというセキュリティ会社でした。
Lookoutの研究者アダム・バウアーは、
「わたしの知っている限りでは、アップルはAPIに関してはやれるだけの対策をとっています。ただ、マルウェアを開発した側は、監視活動をするためにこのシステムを悪用したわけです」と話す。
「Androidだけでなく、iOSでもスパイウェアが見つかることは必ずしも珍しくはありません。ただ、Exodusは特別です。普通のマルウェアとは違って、明らかにその道の専門家によってつくられたものだと考えています」
WIRED
https://wired.jp/2018/12/23/apple-app-store-phishing-scam/
単なるいたずらとか、プログラマーの腕試しのレベルではなく、監視、まさにスパイをするための講師である。という見解です。
もっと単純な詐欺
Exodusのような巧妙な仕掛けだけではなく、ネットの中では、もっと簡単な仕組みであなたの情報を狙っています。
例えば、メールにGoogleとかAppleとか偽装した相手からメールが送られ
Appleだったら
「あなたのiCloudがハッキングされた形跡があります。すぐに以下のリンクからパスワードをリセットしてください」
このリンクを押すとAppleのiCloudのログイン画面にそっくりな偽物が表示
ログインIDとパスワードを入れてしまったら
本物のiCloudの中身を見られてしまいます。
このインチキなサイトに誘導するものを「フィッシングメール」と言います。
また、アップルからのアプリ購入の確認メールを装って、レシートにみせかけたPDFファイルが添付されていいて、そのファイルを開けるとURLが記載されています。
それを押させて、誘導する。
ということもあります。
もしリンクを押してしまったら
- Apple IDとパスワードを入力
- 「Apple IDがロックされています」というポップアップが表示
- 「アカウントのロック解除」を選択
- 氏名、住所、クレジットカードなその支払い情報、セキュリティー確認のための質問、運転免許証の番号、パスポート番号
これであなたの情報がすべて悪人の手に渡ってしまいます。
特にiPhoneだけを使っている人でiCloudの意識があまりない場合、このメールは信じて
高度な技術などは必要ありません。
自分で自分の情報を教えてしまうことになります。
何もiCloudだけではありません。
銀行やクレジットカード会社を名乗ったもします。
このようなメールが来た場合、本当にその企業なのか調べる必要があります。
また、リンク先のURLをメモして、本物のURLと同じかどうか調べることも重要です。
iPhoneが狙われる。
Androidを使っている人は、セキュリティソフトウェアを入れていたりして
被害に合わないように注意してくれます。
iPhoneの場合、そもそも安全が保証されているものなのでセキュリティソフトウェアなど入れていないと思います。
そうなると、自分でチェックするしかないので注意が必要です。
まとめ
個人情報に関しては、FacebookやSNSをやっている限り、かなりの情報が企業に渡っています。
企業ならば、まだよいのですが、悪用しようとしている人や組織も世の中にはたくさんあります。
メールのリンク先をクリックする前にそのURLは、本物かどうか確認することをオススメします。