iPhoneのセキュリティに黄信号

iPhoneのセキュリティは十分と言われてきたので安心していた。Appleは「プライバシーはあなたの権利」と訴え続け、そのような広告を数多く打ってきた。セキュリティ意識の高いユーザーや機密情報を扱うジャーナリスト、政治家たちも、その理由からiPhoneを選んできた。だが、その信頼が揺らいでいる。

政府レベルのツールが、犯罪者の手に渡った

2025年から2026年にかけて、GoogleやiVerify、Lookoutといったセキュリティ研究機関が相次いで二つのiPhone侵入ツールを発見した。「Coruna」と「DarkSword」と名付けられたそれぞれのツールは、もともと政府機関向けに開発されたスパイウェアだった。Corunaは米国の防衛企業L3Harrisが政府向けに製造したものが、やがて中国系サイバー犯罪グループの手に渡ったとされる。DarkSwordはロシアを拠点とするグループとの関連が指摘されている。

どちらのツールにも共通する恐ろしさは、ユーザーが何もしなくてもリスクがある、という点だ。特定のサイトにアクセスするだけで感染が成立する「ウォータリングホール攻撃」という手口が使われており、怪しいリンクをクリックしたわけでも、不審なアプリをダウンロードしたわけでもない。偽の暗号資産サイトや、特定のニュースサイトを訪れただけで、iPhoneの中身が根こそぎ抜き取られるそうだ。

iMessageの内容、位置情報、通話履歴、ブラウザの閲覧履歴など、DarkSwordが取得できる情報は、ほぼ全てにわたるという。

「誰でも標的になる」という現実

かつてこうした高度なツールは、潤沢な予算を持つ国家機関だけが入手できるものだった。製造コストも高く、使いこなすには相応の技術力が必要で、標的は活動家や外交官など特定の人物に限られていた。それがいま、変わりつつある。

iVerifyの共同創業者であるロッキー・コールはインタビューでこう答えている。「商業スパイウェアへの投資が急増したことで、モバイル端末への攻撃ツールが文字通りあふれ出している」。民間のサイバー犯罪者でも手の届く価格と難易度になってきた、ということだ。「すべてのiPhoneユーザーが、今や標的になりうる」という言葉は大げさでは無いという。

興味深いのはDarkSwordの開発プロセスだ。Lookoutの調査によれば、コードの構造から、開発者が生成AIを活用した可能性が高いという。データ取得用のファイルに「DarkSword file receiver」とそのまま名前がついていたことを指摘したLookoutの技術者は、「攻撃的なセキュリティをやる人間なら、絶対にそんな名前はつけない」と苦笑いしたそうだ。サイバー攻撃そのものがAIの力を借りて、誰でも高度な機能を持ったスパイウエアが開発できてしまう。AIは、セキュリティ・リスクにまで影響を与え始めたということだ。

Appleの対応と、それでも残るリスク

Appleは、この問題について、すでに対応済みだと説明している。問題のスパイウェアが悪用していたiOSの脆弱性は過去のアップデートで修正済みであり、古い端末向けには緊急アップデートも配布したという。SafariはCorunaに関連する悪意あるURLをブロックするようにもなっている。

ただ、それで安心とは言い切れないかもしれないようだ。今回発見されたのはあくまで「見つかったもの」に過ぎないからだ。現在進行形で発見されていない脆弱性が存在するかどうかは、誰にもわからない。iPhoneの「安全神話」が完全に崩れたとは思わないが、かつてのような絶対的な信頼をそのまま維持できる時代でもなくなってきた。

自分でできる防御策

研究者たちが推奨する対策は、大きく三つある。

• iOSを常に最新バージョンに保つ：これが最も基本的かつ効果的。今回のケースでもAppleのアップデートが実際に脆弱性を塞いでいる
• ロックダウンモードを有効にする：一部の機能が制限されるが、Corunaはこのモードが有効だと動作を停止するよう設計されており、明確な抑止力になる
• サードパーティ製のモバイルセキュリティアプリを導入する：ブラウザ経由の攻撃に対し、悪意あるURLを事前にブロックする効果が期待できる

セキュリティアプリ——無料版で十分か

サードパーティ製アプリは有料のものが多いが、無料版でも実用的な製品はある。主要なアプリの無料版と有料版の違いをまとめると、以下のようになる。

もうサブスクは増やしたく無いので、有料版は避けたいが無料版では有効ではなさそうだ。記事でも感染を自分で検知することはほぼ不可能というのが現実だということなので、いずれかのセキュリティ・ソフトを検討しようかと考えている。