iMessageが危ない　iPhoneの防御を回避する「ゼロクリック攻撃」の可能性

長年、コンピュータ屋をやってきた経験で話します。

「残念ながらシステムには完璧というものは存在しません。」

限りなく問題点をZEROに近づけることはできますが、問題点は必ず発生します。

今回のIT小僧の時事放談は、
iMessageが危ない　iPhoneの防御を回避する「ゼロクリック攻撃」の可能性
と題して、個人情報、セキュリティは、安全と言われてきたiPhoneも危険にさらされているというお話です。

今回も小難しい話をわかりやすく解説しながらブログにまとめました。

最後まで読んでいただけたら幸いです。

ゼロクリック攻撃

まずは、ゼロクリック攻撃について説明します。

ゼロクリック攻撃ということは、ユーザーがリンクを踏んだり、不正なプログラムをダウンロードして実行するような、何らかのアクションが全く不要でユーザーが知らないうちに勝手に侵入、密かに第三者に重要なデータを抜き取られるというソフトウェアです。
乗っ取られたら最後、スマートフォンのあらゆる個人情報、メール、SNS、写真、動画、電話履歴、住所録なおあらゆるものを盗み出すことが可能になります。
また、勝手にカメラを起動したり、音声を録画したり　まさにネットワーク社会の　スーパーウェポンたる存在です。

当ブログでもPEGASUS（ペガサス）という監視ソフトウェアについて記事にしました。
興味のある方は、以下のリンク先をたどっていただくと詳しく書かれています。

システムの脆弱性を開発者が見つける前に脆弱性を見つけて攻撃するわけですから、攻撃が見つかったときには、すでにやられている
という仕組みになっています。

問題は、個人情報を盗み出すだけではなく　カメラ、マイクなどを利用して所有者のプライベートまで入手してしまうという

まさに映画そのものの技術です。

iMessage

「ゼロクリック攻撃」をiPhoneに仕掛けられる危険性が発見されました。
iMessageは、iPhone/iPadユーザーなら（ほぼ）誰でも使っているメッセージアプリです。
このアプリの脆弱性を狙って、ユーザーが何も操作しなくてもiPhoneに入り込むことが可能であるとわかりました。

発見したのは、トロント大学のネット研究機関シチズン・ラボで
From Pearl to Pegasus　Bahraini Government Hacks Activists with NSO Group Zero-Click iPhone Exploits
というタイトルで発表しています。

現在のところAppleは対抗策が取れないでいる　とも発表されています。

でも　ご安心ください。

あなたは、狙われない

狙われていたのは、世界中の重要人物だけで　一般ユーザーはターゲットになっていないと言われている。

今回、この問題が表面化したのは、
「バーレーン政府が高度なマルウェアを購入し、人権活動家に対して使っていた」
という情報が出てきたからである。
高度なマルウェアを購入したのは、前述したPegasusだと推測されている。

もちろん、Pegasusは、iPhoneだけではなくあらゆるスマートフォンに対して攻撃できるとされています。
世界中の重要人物が、iPhoneを所有している可能性が高いということと　Apple社製のiMessageがターゲットになりやすい
という２点にあります。

必ず入っているアプリならば、脆弱性をみつければ　よりターゲットを絞りやすいわけです。

これは、iPhoneは、セキュリティがしっかりしている　安全だ　という神話を逆手に取ったものでしょう。

Appleも黙ってはいない

現行OSのiOS14で　iMessageのゼロクリック攻撃に包括的に対処すべく大がかりな対策を実施している。
その名も「BlastDoor」　要は、iMessageの着信の“検疫所”である。

しかし、今回のシチズン・ラボの発見や人権擁護団体のアムネスティ・インターナショナルが発表した研究結果によるとゼロクリック攻撃でBlastDoorを突破できることを具体的に示している。

もちろん次に発表される「iOS 15」ではさらなる対策を行うであろう？

む？　ここで気がついた人もいると思いますが、Appleは、次のOSで児童に対する性的暴力対策のために写真と、iMessage、iCloudに対して検査するということを発表して、個人情報を侵害するとして問題になっています。

もちろん、iMessageの検閲は、犯罪防止（抑止）のためですが、Pegasusへの対策も含まれているかもしれませんね。

純正アプリが狙われる

シチズン・ラボの研究者たちは、アップルはiMessageを完全に無効にできる設定を提供すべきではないかと提案しています。
しかし、さすがにそれをAppleが容認することはないだろう。

その他にも「FaceTime」や「Safari」などiPhoneユーザーならばこそ使用しているアプリがあるのでターゲットとして狙われやすいわけで、iMessageを無効化しても別のアプリの脆弱性が狙われるだけである。

まとめ

世界の要人たちは、個人情報の保護のためiPhoneを使っている可能性が高いと思われます。
セキュリティOK、個人情報が重要と宣伝してきたAppleですが、そこを狙われるという皮肉な結果となっています。

問題は、Pegasusという悪意を持ったシステムを販売を止めさせなければ　このような問題はなくならないし、Pegasusがなくなっても次なるシステムが登場してくるであろう。

ところでAndroidは、どうなの？？？

いやぁ　要人はAndroidを使っていないでしょ

Appleよりは、攻撃しやすいからね

とにかく　狙われたらおしまい　という状況には違いない。