セキュリティ会社のFireEyeは10日、iOSの脆弱性を指摘した詳細な報告書を同社のブログで公開しました。それによれば、iOSに存在するあるバグのため、多くのiPhoneやiPadは、個人情報の入手やデバイスのコントロールを企むハッカーからサイバー攻撃を受けやすい状態に陥っているとのことです。

FireEyeによれば、このバグは、ハッカーが、偽装したメッセージやメール、リンクを介してユーザーに悪意のあるアプリを無理やりインストールさせ、デバイスにアクセスすることを可能にします。インストールされた悪意のあるアプリは、FireEyeが「マスク・アタック」と呼ぶ技術を使って本物のメールやネットバンキング用のアプリとすり替えられ、メールやネットバンキングのログイン情報やその他個人情報を盗むために使われます。

FireEyeのタオ・ウェイ氏は米ロイターに対し、「きわめて重大な脆弱性で簡単に悪用できます」と述べています。

アップルのiOSは、WindowsデバイスやAndroidスマートフォンへの攻撃に成功した従来の技術では侵入が困難なほど、堅牢なセキュリティ機能を備えています。しかし前出の「マスク・アタック」技術は、セキュリティ会社Lookoutのデビッド・リチャードソン氏によれば、アップルが大企業向けに、App Storeを介さずにカスタムビルドのソフトウエアを実装できるようにするために開発したシステムを悪用し、iOSへ侵入を成功させているとのことです。

こうした悪意のあるアプリはApp Storeで提供されているアプリとは異なり、アップルの審査を受けていません。しかしインストールをするかしないか尋ねるポップアップ通知は表示されるため、それを見たら「インストールしない」と答えてさえいれば、ユーザーはデバイスを守ることができるとリチャードソン氏は述べています。

FireEyeは、7月にiOSの脆弱性に関する情報をアップルに提示してバグの修正に取り組んできたとのことです。アップルはこの件に関し今のところコメントを発表していません。

iOSの脆弱性を指摘する情報は、セキュリティの専門家やハッカーらが集う特殊なウェブフォーラム上で10月ごろからリークされ始めていました。

FireEyeは、先週セキュリティ企業のPalo Alto Networks社がマルウエア「WireLurker」を発見したと報告したことがきっかけで、今回の公開に踏み切ったとしています。ウェイ氏は、「WireLurkerは現時点では1つしか存在しないがおそらく今後さらに数が増えるだろう」と述べています。

via - Reuters