スパイウェア「ペガサス」の脅威――Appleデバイスユーザーが今すぐパッチを適用すべき理由

iPhoneに突然届いたiOSのアップデート通知――心当たりはありませんか?実はこの更新、決して見過ごせない重要なものでした。iOS 9.3.5へのアップデートは、攻撃者によって実際に悪用されていた3つのゼロデイ脆弱性を修正するもので、放置すれば幅広いアプリから機密情報を盗み見される危険がありました。

ペガサス、飛翔を始める

モバイルセキュリティ調査会社Lookoutとトロント大学のCitizen Lab(市民研究所)によって発見されたこのスパイウェアは「Pegasus(ペガサス)」と名付けられました。調査チームによれば、ペガサスはかなりの期間出回っていたとみられていますが、主に機密情報を持つ「高価値ターゲット」への感染に使われてきたといいます。

発見のきっかけとなったのは、著名な人権活動家アフマド・マンスール氏のもとに届いた不審なSMSでした。「UAEの刑務所で拷問されている拘束者に関する『新たな秘密』を知りたければ、リンクをクリックせよ」という内容だったのです。しかしマンスール氏はリンクをクリックせず、メッセージをCitizen Labに転送して分析を依頼しました。

その結果判明したのは、自己破壊命令まで備えた、極めて高度に隠蔽されたスパイウェアでした。Citizen LabとLookoutは、このハッキングの手口が、イスラエル諜報部隊8200部隊の出身者によって設立されたとされる「NSO Group」の特徴と一致すると発表しています。

我々は、これらのリンクがNSO Groupに関連するエクスプロイト基盤のものであることを特定しました。NSO Groupはイスラエルに拠点を置く「サイバー戦争」企業で、政府限定の「合法的傍受(lawful intercept)」スパイウェア製品であるペガサスを販売しています。もし感染していれば、マンスール氏のiPhoneはポケットの中のデジタルスパイと化し、カメラやマイクを使って周囲の様子を盗み見し、WhatsAppやViberの通話を録音し、チャットアプリのメッセージを記録し、移動履歴まで追跡できたでしょう。

これは「標的型攻撃キャンペーンの一環として実際に使用されたiPhoneのリモート脱獄(jailbreak)の初の事例」とされており、その発見は稀有かつ重大です。3つのゼロデイ脆弱性は総称して「Trident(トライデント)」と呼ばれ、以下で構成されます。

• CVE-2016-4657 ― 悪意のあるWebサイトにアクセスすると、任意のコードが実行される可能性がある。
• CVE-2016-4655 ― アプリケーションがカーネルメモリの内容を漏えいできる可能性がある。
• CVE-2016-4656 ― アプリケーションがカーネル権限で任意のコードを実行できる可能性がある。

神話の怪物のような能力

そもそも私たちがペガサスの存在を知ることになったのは、マンスール氏が感染したSMSをトロントのセキュリティ研究者に転送したからこそです。研究者らは、送信されたリンクが無効化される前にスパイウェアを解析・隔離することに成功しました。では、このスパイウェアは具体的に何をするのでしょうか?

端的に言えば、現代の高度なスパイウェアに期待される機能のほぼすべてを備えています。ペガサスはスマートフォンを標的にし、ブラウザ履歴、メール、SMS、メッセージングデータ(iMessageやWhatsAppなどのアプリデータを含む)に加え、連絡先、カレンダーの記録、位置情報の履歴など、あらゆる情報を窃取します。

iPhoneにはセキュリティの高さで定評があります。iPhoneプラットフォームはAppleによって厳格に管理されているため、リモートでの監視ツール導入・稼働には技術的に高度なエクスプロイトが必要になります。こうしたエクスプロイトは希少で、非常に高価なものなのです。

セキュリティ研究者たちが特に驚かされたのは、ペガサスが長期間にわたり検知されずに潜伏できる能力でした。Lookoutのセキュリティ調査担当副社長マイク・マレー氏はMotherboard誌に次のように語っています。

NSO Groupのソフトウェアとその設定・運用方法は、すべて「検知されないこと」が目的です。ステルス性を追求し、不可視であるよう設計されています。

高価値ターゲットへの使用を裏付けるように、ペガサスは画面がオフのときにのみ周囲を録音・撮影するよう設計されています。さらに、特定条件下で作動する自己破壊メカニズムも備えています。

ペガサスは、モバイルデバイスが私たちの生活に深く組み込まれていること、そしてモバイルならではの機能の組み合わせ――常時接続(Wi-Fi、3G/4G)、音声通話、カメラ、メール、メッセージング、GPS、パスワード、連絡先――を悪用します。機能のモジュール化、監視対象となる通信やユーザーデータの広範さ、他アプリに組み込んでデータを吸い上げる手法の精巧さから、現時点でペガサスはLookoutがモバイル端末上で確認した中で最も洗練された民間開発の攻撃ツールです。

「合法的傍受」の光と影

ペガサスの開発元NSO Groupは、人権団体Privacy Internationalが収集したデータによると、パナマとメキシコにスパイウェアをライセンス供与していました。地元報道によれば、パナマ政府はペガサスに800万ドルを支払ったといいます。そして今回の暴露により、アラブ首長国連邦(UAE)も確実にそのリストに加わることになりました。

「合法的傍受」技術自体は新しいものではなく、多くの国では濫用を防ぐため厳格な法制が整備されています。しかし残念ながら、それが常に守られているわけではありません。アフマド・マンスール氏ただ一人の事例を見ても、これほど強力なスパイウェアをめぐる問題が浮き彫りになります。彼に対しては、今回で3つ目となる「合法的傍受」ツールが情報収集に使われたのです。

自分にとって何を意味するのか?

iPhoneをすでにアップデート済みなら、ひとまず安心です。大多数のiPhoneユーザーがペガサスと関わるのは、Appleが配信した重要なアップデートに気づいてインストールする程度でしょう。Errata Securityのブログはこう述べています。

サイバーセキュリティ業界の外の人々には新しい話かもしれないが、内部の人間にとっては特別ニュースになる話ではない。活動家を狙う政府系マルウェアがまた一つ増えただけであり、ゼロデイがまた一組見つかったにすぎない。

ただし今回は少し事情が異なります。ゼロデイ脆弱性の多くはセキュリティ研究者やベンダー自身によって発見されますが、今回はプライベートで高度に機密性の高い情報を盗むために実際に悪用されており、被害者を直接的な危険にさらしかねないものだったのです。

さらに、ペガサスの開発背景も興味深い論点を投げかけます。民主国家であるイスラエルで開発された危険なスパイウェアが、UAEのような抑圧的な政権を持つ国々に売却されたという構図です。ツール自体は「合法的傍受」ツールとして正当に開発されたものですが、この事例は実際の運用の実態を示しています。NSO Groupは法の枠内で事業を行っており、同社自身の言葉によれば「テロと犯罪と戦うための技術を認可された政府に提供することで、世界をより安全な場所にしたい」だけだと言います。

とはいえ、同社のスパイウェアは、人権擁護活動が厳しく弾圧されることで知られる国で、人権を守る異議申し立て者に対して使われているのが実情であり、「製品は犯罪の予防と捜査のみに使用されうる」という公式見解を覆すものです。もちろん、UAEの管轄下ではマンスール氏の活動自体が犯罪行為とみなされている側面もあります。

OS XとSafariにも脆弱性が発見

Appleはまた、デスクトップ向けOS「OS X」と主力ブラウザ「Safari」にもトライデントのゼロデイ脆弱性が影響するとして、緊急パッチを静かに公開しました。両プラットフォーム間で共有されるコード量を考えれば、片方で脆弱性が見つかればもう片方にも影響するのは驚くことではありません。

El CapitanおよびYosemite向けのパッチはAppleのサポートページから入手でき、Safari向けのパッチも別途提供されています。いずれも通常のアップデート経路でダウンロード・インストール可能なので、必ず適用することを強くお勧めします。

安全は次回まで……

アップデート済みなら、あなたのAppleデバイスは安全です。まだ不安な場合は、Lookout Securityアプリをダウンロードしてシステムをスキャンしてみてください。何かが検出された場合は、パッチのインストールが必要です。パッチ適用を望まないユーザー(すでに脱獄している場合など)は、専用のチュートリアルを参照するのも一つの手です。(免責事項：筆者はこの方法を試しておらず、MakeUseOfが承認・推奨するものでもありません。)

ゼロデイ脆弱性は日常的に発見され、セキュリティ研究者や影響を受ける人々に告知されることなく修正されています。とはいえ、iPhoneユーザーは胸を張っていいはずです。Androidユーザーは、多少の自信とYouTubeの動画を見て得た知識さえあれば、誰もが攻撃しうる状況にあるのですから。

iPhoneが実際に攻撃を受けるのは、今なお国家レベルのアクターによるものにとどまっています。ニュースで数多くのゼロデイ脆弱性が報じられてはいるものの、大多数の消費者にとってiPhoneは依然として最も安全なスマートフォンです。ゼロデイエクスプロイトは今後も探求され、暴かれていくでしょう。Appleのバグ報奨金プログラムの上限は20万ドルですが、昨年、ソフトウェアブローカーのZerodiumはiPhoneへのアクセスを可能にするエクスプロイトに100万ドルを提示しました。問題の構図が見えてきますね。

あなたとあなたのデータは大丈夫。しかし、活動家やジャーナリストを標的とするスパイウェアの事例は、これが最後ではないでしょう。

あなたはもうiPhoneをアップデートしましたか?国家レベルのアクターは「武器化された」マルウェアやスパイウェアの販売にもっと責任を持つべきだと思いますか?ぜひコメントであなたの考えを教えてください！