あるiPhoneユーザーが、Instagram広告をクリックせずにスクロールして通り過ぎただけで、スパイウェアに感染したと報告されている。
モバイルセキュリティ企業iVerifyとウェブサイトセキュリティ企業Report URIの研究者は、通常のウェブ閲覧を支えるインフラを悪用し、脆弱なiPhoneを標的にするキャンペーンを記録している。
Axiosが報じたある事例では、金融機関の従業員がInstagram上のサッカー広告をクリックした形跡がないにもかかわらず、スクロールして通り過ぎた後にiPhoneへ感染した。この事案は、巧妙なスパイウェア攻撃が、被害者に不審なリンクをクリックさせたり悪意あるファイルをダウンロードさせたりすることなく成功する場合があるという、憂慮すべき現実を浮き彫りにしている。
スパイウェア攻撃の仕組み
この研究は2つの異なる攻撃手法を明らかにしている：DeadTagによる期限切れウェブサイトドメインの悪用と、悪意あるInstagram広告に関わる別の事案だ。
DeadTagは、Report URIが調査したもので、正規のウェブサイトが分析ツールなどのサードパーティー製スクリプトを読み込むために今も参照している、期限切れドメインを攻撃者が購入する。攻撃者はこれらのドメインを掌握することで、訪問者に悪意あるコードを配信できる。
研究者は、この活動をCorunaとDarkSwordを含むエクスプロイトキットと関連付けた。これらは複数の脆弱性を組み合わせ、脆弱なiOS端末を侵害する。攻撃に成功すると、攻撃者はセキュリティ保護を回避し、保存された認証情報や暗号資産関連データなどの機密情報にアクセスできるスパイウェアを展開できる。
別のInstagram事件は、iVerifyが調査したもので、ワールドカップの広告をスクロールして通り過ぎた後、金融機関の従業員のiPhoneが感染したと報告されている。研究者はこの攻撃をDarkSwordの亜種と結び付けており、被害者は広告をクリックしなかったとされる。
両者の違いは、悪意あるコンテンツがどのように被害者へ届くかにある。DeadTagは放置されたサードパーティー製ウェブサイト依存関係を悪用する一方、Instagramの事案では悪意ある広告コンテンツが使われた。
どちらの事例も、ユーザーが不審なリンクを操作しなくても、通常の閲覧中に読み込まれるコンテンツを通じて、攻撃者が脆弱な端末を侵害できる可能性を示している。
何もしないことがセキュリティリスクになるとき
多くのサイバーセキュリティに関する推奨事項は、オンラインでユーザーがすべきこと、すべきでないことに焦点を当てている。
スパイウェアに関しては、攻撃者が被害者をだましてマルウェアにさらす、よくある手段であるフィッシングリンクを避けるというのが、通常の助言だ。
しかし、脅威アクターは適応を続けており、これらの攻撃手法――悪意ある広告とドライブバイ攻撃――自体は新しいものではない。
こうした手法が懸念されるのは、組み合わせて使われると、多くのサイバーセキュリティ対策を無効化し、最も慎重なユーザーさえ侵害できることだ。
これは、ユーザーに不審な活動を見つけることを過度に求める助言の限界を示している。
悪意あるコードが自動的に読み込まれる場合、結果を左右するのは、誰かが危険な判断をしたかどうかだけではなく、端末の脆弱性やコンテンツを配信するシステムの弱点である可能性がある。
iPhoneユーザーがリスクを減らす方法
こうした攻撃は被害者が悪意あるリンクをクリックしなくても成立する可能性があるが、iPhoneユーザーがさらされるリスクを減らすためにできることはある。
まず、マルウェアは端末のiOSバージョンを確認し、どのエクスプロイトが機能するかを判断する。記録されているキャンペーンは主に古く脆弱なバージョンを標的にしているが、研究者はiOS 26および27向けにツールを適応させようとする試みも確認しており、新しいコードの多くは機能していないと報告されている。
最新のブラウザーにも、既知の悪意あるウェブサイトをブロックし、悪用を困難にするためのセキュリティ機能が搭載されている。たとえばSafariはSafe Browsingを使って特定された悪意あるドメインをブロックし、ブラウザーやOSに組み込まれた保護機能によって、一部のドライブバイ攻撃が成功する前に阻止されることもある。
ただし、こうした対策があらゆる新たなエクスプロイトからの保護を保証するわけではない。
最も効果的なのは、iOSとブラウザーを更新して既知のセキュリティ脆弱性にパッチを適用することだ。標的型攻撃のリスクが高いiPhoneユーザーは、Appleのロックダウンモードも検討できる。これは、巧妙なエクスプロイトが依存する可能性のある一部の機能を制限する。
こうした予防策ですべての脅威を排除することはできないが、攻撃者に与えられる機会を減らすことはできる。報告された事例は、セキュリティが不審なリンクを避けるだけでは不十分な理由を示している。脆弱性が悪用可能な状態に残っていれば、見慣れたプラットフォームや正規のウェブサイトさえも攻撃経路になり得るのだ。
その他のニュース：1Passwordは、ユーザーのパスワードを公開せずにAIエージェントがオンラインアカウントへログインできる機能を導入したが、サインイン後にエージェントが何にアクセスし、何を実行できるのかについては懸念が残っている。