iPhoneはマルウェアに感染しないというのは本当か

iPhoneはAndroidや､Windowsを搭載するパソコンと違ってマルウェアに感染する恐れがないと言われてきたが､その主な理由としては、次の2点が挙げられる。

• iOS自体がセキュアな設計となっている
  iOSはセキュリティを重視し、全てのアプリを「サンドボックス」内で動かす設計を採用し、徹底している。サンドボックスを直訳すると「砂場」という意味になる。砂場は砂浜を模して､子どもが安全に遊べるように作られたものであり、端末内に砂場のような隔離された仮想的な空間を設けることで、内部の動作がサンドボックスの外側に影響を与えないようにする仕組みである。仮に、マルウェアに感染したとしても、サンドボックスの外側に影響を与えることはできないので、被害が出にくいのだ。実はAndroidでも以前からサンドボックスが実装されているのだが、iOSではサンドボックスの利用が必須となっているのに対し、Androidでは任意となっており、開発するメーカーに判断が委ねられているため､使われていないことも少なくない。
• アプリのダウンロードはApp Storeのみとなっている
  iPhoneは基本的に､アプリケーションのダウンロードが純正アプリストアである「App Store」からしかできない仕様となっている。App Storeでアプリケーションを公開するためには、アップル社の厳しい審査を経る必要があるため、マルウェアが入り込む余地がほとんどない。それに対し、Androidでは、純正アプリストアの「Google Playストア」以外のアプリストアやWebサイトで配布されているアプリケーションもインストールできる。そうした純正アプリストア以外のアプリストアは、審査が緩い場合も多く、マルウェアが入り込む余地も少なくない。

「脱獄」したiPhoneはマルウェアに感染する

iPhoneは、基本的にApp Store以外のアプリストアからアプリケーションをインストールできない仕様になっているが、「脱獄（ジェイルブレイク）」と呼ばれる改造をOSに施すことで、App Storeで公開されているアプリケーション以外の非公式アプリケーションも利用できるようになる。しかし、脱獄をおこなうと、公式サポートを受けられなくなるだけでなく、マルウェアに感染しやすくなるというリスクがあり、実際、過去には脱獄したiPhoneを狙ったマルウェアがいくつも発見されている。

何年か前まではiOSの標準機能が少なかったこともあり、標準のiOSでは許可されていない機能を追加、利用できるようにするために、脱獄をおこなうユーザーが一定数存在した。しかし、最近ではiOSの機能も充実傾向にあり､セキュリティリスクを負ってまで脱獄するユーザーは減少傾向とされる。

「サプライチェーン攻撃」など、複合的な攻撃手法が登場

一般的な利用方法の範囲内なら、iPhoneがマルウェアに感染するリスクは確かに低い。しかし、最近は新たな手口や技術が登場しており、iPhoneなら絶対に感染しないというわけではなくなってきている。

その代表が「サプライチェーン攻撃」と呼ばれるものだ。サプライチェーン攻撃は2種類の攻撃方法に大別できる。ひとつは、大企業や政府機関などを攻撃する際に、まずは防御の手薄なグループ企業や取引先企業、関連組織などを｢侵入口｣として攻撃し、そこからターゲットの企業や組織へと潜入するというもの。こちらは、iPhoneへの攻撃とは直接関係はないのだが、例えば、2011年に米国の軍需産業であるロッキード・マーチン社やノースロップ・グラマン社へのサイバー攻撃がおこなわれた際、攻撃者は直接これらの会社への侵入を試みるのではなく、セキュリティ企業の「RSA Security」に侵入し、そこで盗み出した「SecureID」（ワンタイムパスワード）の情報を悪用して、ターゲットとするロッキード社などへの侵入を成功させた。

もうひとつのサプライチェーン攻撃は、「ソフトウェアサプライチェーン攻撃」とも呼ばれるもので、ソフトウェアの開発元や配布先のパソコンに侵入し、開発中のプログラムにマルウェアを仕込む手口である。こうした手法で仕込まれたマルウェアは、アップル社の審査をすり抜けてしまうことがある。

有名な事例として、2015年に起きた「XcodeGhost」によるiOS正規アプリのマルウェア汚染がある。Xcodeはアップル社が提供しているiOSアプリを開発するのに必要なツールだが、中国のiOSアプリ開発者にとって、アップルの公式サイトからXcodeをダウンロードするのはネットワークの関係上、困難という事情があった。そのため、中国のiOSアプリ開発者の多くは、公式サイトから「Xcode」をダウンロードするのではなく、中国国内のファイル共有サイトなどから、Xcodeのコピーを入手していた。

こうしたコピーの中にXcodeGhostと呼ばれる､不正なマルウェアのコードを含んだコピーが紛れ込み、XcodeGhostを使用して開発されたiOSアプリはすべて不正なマルウェアが含まれてしまうことになった。マルウェアが含まれたiOSアプリが何十本もApp Storeに登録されるに至った。普通に使用する範囲ではマルウェアに強いとされたiPhoneだが､このような裏口からの侵入に対しては、完全な安全性を誇るわけではないのだ。

また、2014年11月にはパソコンを経由してiPhoneに感染する「WireLuker」というマルウェアも登場している。WireLukerは、まずOS XまたはWindowsに感染し、そのパソコンにUSB経由でiPhoneが接続されると、iPhoneにインストールされているアプリをWireLukerに感染されたものに置き換えていく。このマルウェアは脱獄していないiPhoneでも感染することが当時､話題となったので記憶にある方も少なくないだろう。

企業内アプリから感染する場合も

前述の通り、iPhoneでは原則としてApp Store経由でしかアプリケーションを配布できない。しかし例外として、特定の企業や組織内限定で使うためのアプリケーションはApp Storeを介さず配布することが認められている。この「Apple Developer Enterprise Program」と呼ばれる制度を悪用した攻撃も存在する。

まず、2014年末から2015年にかけて、中国や台湾のiPhoneユーザーを中心にマルウェア「YiSpecter」が広がった。YiSpecterは、企業内アプリ向けの証明書を使って署名されているため、脱獄をしていないiOSにも感染する。YiSpecterは、端末上の既存アプリを別のアプリに入れ替える、他のアプリを乗っ取って広告を表示するといった悪意のある動作をおこなう。また、2015年に中国で発見された「KeyRider」は、22万5000件あまりのAppleアカウント情報を盗み、iPhoneでは最大規模のインシデントとなった。KeyRiderは、脱獄したiPhoneにのみ感染するマルウェアであるが、感染するとiTunesのトラフィックを傍受し、Appleアカウントを盗み出す。さらに、2019年3月にAndroidで発見されたマルウェア「Exodus」のiOS版も、「Apple Developer Enterprise Program」制度を悪用して作られている。

YiSpecterが利用していた脆弱性は、その後のアップデートによって修正されており、現在は心配する必要がない。しかし､YiSpecter以降もiPhoneを狙ったマルウェアがたびたび登場していることからもわかるように、iPhoneがマルウェア対策を必要としないというのは過去の話になりつつある。

iPhoneでもマルウェアに対する恒常的な備えは必要

ここまで見てきたように、iPhoneのマルウェアに対する強度については認識を改める時期に来ている。今後は、iPhoneユーザーでも、マルウェアに対する恒常的な備えが必要だといえるだろう。中でも重要なポイントとして以下の4つが挙げられる。

• iOSとアプリを最新のものにアップデートする
  iOSやアプリをアップデートすることで、既知の脆弱性への対処がおこなわれるため、マルウェアに感染する危険性が大きく減少する。アップデートが提供されたら、すぐに更新する習慣をつけたい。
• セキュリティ対策が不十分なパソコンに接続しない
  iPhoneを直接ターゲットとして狙うのではなく、セキュリティ対策が不十分なパソコンにまず感染し、iPhoneがそのパソコンに接続された瞬間に、USB経由で感染するマルウェアが存在する。パソコンを使うなら、セキュリティ対策をしっかりおこなうことが基本だが、他人のパソコンなど、セキュリティ対策が不十分な可能性があるパソコンにうっかりiPhoneを接続しないように心がけたい。
• 脱獄をしない
  上でも述べたように脱獄をすると、セキュリティリスクが大きく高まる。以前と異なり現在のiOSでは、一般ユーザーが脱獄をおこなうメリットはほとんどない。また、脱獄をおこなったiPhoneはアップルのサポート対象外となるので、興味本位で脱獄をおこなうことは絶対にやめておいたほうがよい。
• 不審なアプリやプロファイルは削除する
  自分でインストールしたつもりのない不審なアプリや構成プロファイルは、マルウェアが関係している場合もあるため、見つけたら削除しておく。

常日頃からこうした備えをしておけば、iPhoneにマルウェアが感染する可能性は限りなく低減する。iPhoneユーザーだからといって、セキュリティ対策は不要、意識をする必要がないというわけではないことは十分に頭に入れておきたいところだ。サイバー攻撃の手口は年々高度化・巧妙化しているという前提で､リスクは常に隣り合わせの存在であることを踏まえ行動してほしい。