BLASTPASSは、最新iOSを操作なしで侵害した
Citizen Labは2023年、当時最新のiOS 16.6を実行するiPhoneを、被害者の操作なしに侵害できる攻撃チェーンを確認しました。攻撃には、iMessage経由で送られた悪意ある画像を含むPassKit添付ファイルが関係していました。
Citizen LabはこれをBLASTPASSと呼び、Appleへ開示しました。Appleは関連する2件の脆弱性へCVEを割り当てて更新を配布しました。つまり『押さなければ安全』ではなく、受信後の自動処理そのものが攻撃面になった実例です。
感染後、スマホのセンサーと認証情報が狙われる
別のCitizen Lab調査では、Pegasus感染端末のログから、周囲音と暗号化通話の録音、写真撮影、位置追跡、パスワードと保存済み認証情報へのアクセス能力が確認されています。侵入後のスマホは、保存データの箱にとどまらず、持ち主の周囲を継続的に取得する装置になり得ます。
ただし、これらは高度な商用スパイウェアを用いた標的型攻撃の事例です。すべての利用者が同じ確率で狙われるわけではなく、対象者の職業、活動、保有情報によって脅威の現実性は変わります。
対策の中心は、更新と自動処理の制限
ゼロクリックでは、利用者が怪しいリンクを見分ける機会がありません。OSとアプリを速やかに更新し、メーカーが提供する高度保護モードを高リスク時に使うことが中心になります。Citizen LabとAppleは、BLASTPASSに対してLockdown Modeが防御になったと説明しています。
- OSとメッセージ関連アプリを自動更新する
- 高リスク時はLockdown Modeなどの保護機能を使う
- メーカーの脅威通知を無視しない
- 異常時は自己判断で初期化せず、専門家へ相談する