9月14日（日本時間15日2時）は、Appleの新商品（iPhone13、iPad mini、Apple Watch7など）が発売され盛り上がっていますが、その前日、AppleはiOSを14.8にアップデートしました。（その後、9月21日にはiOS15が公開されています）
もうすぐiOS15が出る（9月21日）のに、なぜ中途半端な時期にバージョンアップを行ったのかというと、セキュリティ上の致命的な脆弱性があったことが一つの要因として考えられます。
この脆弱性で、iPhoneのiMessageなど経由で、「リンクをクリックしなくてもスパイウェアに感染」という恐ろしい現象が起こる状況でした。（以下日経新聞9/15朝刊等参考）
このスパイウェアは、イスラエルの企業が開発した「ペガサス」というもので、世界各国の要人やジャーナリストなどをターゲットにしているようです。
もちろん、iOSだけでなく、Android端末もターゲットにしています。
メッセージ内のリンクをクリックしなくても感染する「ゼロクリック」でペガサスに感染
iOS・Androidのセキュリティの脆弱性で感染するペガサスは、以下のような振る舞いを行います。
- 通話を盗聴
- 通信アプリ・カレンダー・メモ帳等端末内の情報を収集
- スマホのマイクやカメラを起動させ録音・録画
- GPSデータを取得、利用者の会話や利用履歴を把握
- 国の要人など狙ったユーザーの端末を感染させ、行動把握や機密情報の詐取を狙う
- また、世界各地のジャーナリスト・人権活動家のスマホのハッキングにも使われる
- プライベートな写真・動画を盗み出す
- 全ての行動が筒抜けに
以上の通り、特にiPhone・iOSはセキュリティが堅固と言われる中で、脆弱性が狙われるというのはこれまでまれでした。
ペガサスは少なくとも世界40カ国・60機関に販売されているとしていますが、民間への流通は不透明と日経は報じています。
加えて、このペガサスのようなゼロデイ攻撃をユーザー側で防ぐのは難しいのが現状です。個人でできることは、iOSではOSのアップデートを常に行う、Androidではセキュリティソフトの導入を行う、不審なリンクやメッセージは開かないなどですが、なかなか根本的な対策を行うのは、現状では難しいと言えます。
さらにWebメディア等ではペガサスの詳細に言及
以前より、ペガサスの脅威に関しては指摘されていました。
2017年4月24日のセキュリティソフトウェア会社、カスペルスキー社の記事では、当時のペガサスはリンクをクリックすると感染し、これまで述べた振る舞いだけでなく、下記のような振る舞いをするとしています。
- ペガサスは全面的な監視を行う
- Pegasusはモジュール式（機能追加型）のマルウェア
- ターゲットのデバイスをスキャン
- 利用者のメッセージやメールの読み取り、通話の傍受、スクリーンショットの撮影、押されたキーの記録、ブラウザー履歴や連絡先の抽出など、さまざまな操作に必要なモジュールをインストールする
- Pegasusに感染すると、標的となった人の生活があらゆる側面から覗き見されてしまう
- 暗号化された音声通信を聞くことができ、暗号化されたメッセージを読むことも可能
- キーロガーと音声録音の機能が備わっていて、メッセージが暗号化される前に（受信メッセージの場合は復号された後で）通信内容を窃取する
- ペガサスにはステルス機能もある
- 指令サーバーと60日以上通信できなかった場合や、または間違ったSIMカードの入った別のデバイスにインストールされたことが分かると、ペガサスが自分自身を削除するなど、身を隠す能力に長けている
このように、4年以上前からペガサスは存在し、現在はクリックしなくても感染する、ゼロデイ攻撃を備えるなど、より脅威は増しています。
ペガサスの感染チェックソフトウェアはあるが、使い方が非常に複雑・・、と思いきや、使いやすいチェックソフトウェアも
ペガサスの振る舞いなどについて記載しているWebメディア、GIZMODOの記事では、感染チェックのソフトウェアをアムネスティインターナショナルが公開していることについて触れています。（他にも、ペガサスが引き起こした事案についても触れていますが、こちらはリンク先でご覧下さい）
ただ、ソフトウェアはGithubで公開され、利用方法は非常に複雑です。
使用するには、フォレンジック分析の基本を理解し、コマンドラインツールを使用する必要があるため、普通の人が使うのは非常に複雑で、専門家の支援を求めてという表記もあります。
そんな中、lifehackerに「iPhoneやiPadがスパイウェアに感染しているか確認する方法」という記事が掲載されました。
iMazingというiPhoneとiPadの管理ツールで、無償でスパイウェア検出機能を備えています。（ただし、駆除の機能はありません）
PC・MACで利用でき、検査にはデータのバックアップ→データスキャンという手順があり、1時間以上の時間がかかります。
万一感染していた場合、SIMカードを抜き、デバイスのデータを消去、その後
感染を根絶するために、古いバックアップから復元するか（そのバックアップも感染していないことを確認するために分析しましょう）、デバイスからすべてのデータを消去して最初からやり直すかを試してください。
などを行う必要があります。
現状で対策は難しいが、一般人がターゲットにされることは極めて考えにくい
このように、振る舞いやステルス性など、様々な意味で恐ろしい存在であるペガサスですが、一般の人がターゲットにされることは極めて少ないとはされています。
とはいえ、こういうソフトウェアが存在し、今も進化を続けているということは留意した方が良いでしょう。
