米アップルは先ごろ、国家の支援を受けて開発されているスパイウエアから、利用者を守るためのセキュリティー機能をスマートフォン「iPhone」などに追加すると明らかにした。

「ごく少数の利用者を保護する当社の確固たる取り組み」

特定の機能を厳しく制限することで、標的型スパイウエアによって狙われる可能性のある攻撃対象領域を大幅に減らし、被害を受けにくくするという。

「ロックダウンモード」と呼ぶ新機能を、2022年秋に配布する「iOS 16」などの基本ソフトに搭載する。同機能を有効にすると、特定のメッセージ・通話アプリや、ウェブ閲覧、端末の機能を制限し、データへのアクセスやデータ転送・設定操作などをブロックする。

この機能はスマホ「iPhone」向けのiOS 16のほか、タブレット端末「iPad」とパソコン「Mac」向け基本ソフトにも導入する。

アップルはロックダウンモードについて、「最も巧妙なデジタル脅威によって個人的に標的にされる恐れのあるユーザーを保護するのに役立つ」と説明している。同社によると、「大多数のユーザーは高度な標的型サイバー攻撃の犠牲になることはない」。「肩書や活動によって攻撃を受けやすい、ごく少数の利用者を保護するという当社の確固たる取り組みを示す画期的な機能」としている。

アップルは、ロックダウンモードのセキュリティー上の欠陥を発見した研究者に報奨金を払うことも明らかにした。適切な発見があった場合は金額が2倍になる。上限は200万ドル（約2億7000万）で業界最高額だとしている。

アップル、スパイウエア開発のイスラエル企業提訴

アップルは21年11月、スパイウエア「Pegasus（ペガサス）」を政府機関などに販売しているイスラエルのNSOグループを提訴した。

米カリフォルニア州北部地区の連邦地裁に提出した訴状でアップルは、「Pegasusによって、iPhone利用者の電子メールやテキストメッセージ、ウェブブラウザー閲覧履歴などの情報を収集できてしまう。端末のカメラやマイクへのアクセスも可能にしている」と指摘。強権的な政府は数億ドルもの費用をかけ、一部の利用者の情報を収集していると批判した。

NSOグループの手法の1つは「ゼロクリック攻撃」と呼ばれるもの。対話アプリ「iMessage」の脆弱性を突き、利用者がリンクをタップしたりファイルを開いたりすることなくマルウエアがインストールされ、端末が監視デバイスと化する。ただ、アップルはこの時の発表と併せて新たなセキュリティー保護を施した修正プログラムを緊急配布している。

アップルによると、この脆弱性はカナダ・トロント大学の研究グループ「シチズンラボ」が発見した。今後はこれら研究機関に対し1000万ドル（約13億5800万円）と、NSOグループとの訴訟によって得られる損害賠償金を寄付するなど、サイバー監視の乱用阻止に向けた取り組みを支援していくとしている。

ジャーナリストや人権活動家、政府関係などを攻撃

米ウォール・ストリート・ジャーナルや米CNBCによると、NSOグループは中東やメキシコ、インドなどの政府機関などにスパイウエアを販売したことで非難されている。

NSOグループのスパイウエアは、ジャーナリストや人権活動家、反体制派、政府関係者、大使館職員、ビジネス・学術関係者などへの標的型攻撃で悪用されてきたと指摘されている。米メタは19年に、傘下の対話アプリ「WhatsApp（ワッツアップ）」の利用者1400人がNSOグループからマルウエアを送り付けられたとして、カリフォルニア州の連邦地裁に提訴した。

18年にトルコで殺害された、ワシントン・ポスト紙コラムニストのサウジアラビア人記者、ジャマル・カショギ氏の周辺人物も標的になったとみられている。また、国際人権団体アムネスティ・インターナショナルは、フランスの人権派弁護士や活動家、インドのジャーナリスト、ルワンダ人活動家のiPhoneからもNSOのスパイウエアが見つかったと報告している。

こうした事態を受け、米政府も動いた。米商務省は21年11月、NSOグループを輸出管理規則（EAR）に基づくエンティティー・リスト（EL）に追加。NSOグループへの米国製品や技術の輸出などを「原則不許可（presumption of denial）」とした。

これに対し、NSOグループは「当社の技術は人命を救うために使われてきた。人権を尊重する法治国家の法執行機関や情報機関に提供し、テロリストや犯罪者の追跡・検挙を手助けしてきた」と反論。「当社のソフトウエアを悪用する外国政府との契約も打ち切った」と説明している

一方、米グーグルは22年6月、イタリア企業RCSラボが開発したスパイウエアが、イタリアやカザフスタンで「Android」搭載スマホやiPhone利用者の個人情報不正入手に利用されたと報告している。

• （このコラム記事は「JBpress Digital Innovation Review」2022年7月8日号に掲載された記事を基にその後の最新情報を加えて再編集したものです）