要点
- ロシアの対外情報庁（SVR）の下にあるとされる攻撃集団 APT29 が、ふつうのサイトに罠を仕込んだ。古い iPhone や Android で開くと、タップしなくても中身を盗まれた、とセキュリティ会社 Sekoia が報告した。
- 古い iOS 18.5 の iPhone からは、メッセージ、パスワード、居場所、健康のデータ、写真まで盗まれうる。
- 使われた欠陥はどれも直っている。OS とブラウザを最新にしていれば当たらない。
何が起きたか
Sekoia の調査チームは、2026年11月4日に報告を出した。調べ始めたのは10月半ばで、きっかけはウクライナのガス会社のサイトに仕込まれた不正なプログラムだった。
手口は「水飲み場攻撃」と呼ばれる。狙う相手がよく見るサイトに罠を置き、来るのを待つやり方だ。Sekoia によると、罠は3つの方法で置かれた。
- 本物のサイトに侵入し、ページに不正なプログラムを埋め込んだ。
- 本物そっくりの偽のドメインを用意し、本物の中身を見せながら不正なプログラムを足した。偽物にされたのは、米国建国250年の行事「America250」のサイトと、ロンドンのホテル Raffles London at The OWO のサイトだ。
- ウクライナのアクセス解析サービス Plerdy の計測用スクリプトを書き換えた。このスクリプトは、軍や特殊部隊、軍の装備に関わるサイトにも入っている。Sekoia は、そうしたサイトには価値の高い訪問者が来やすいと見ている。ただし、特定のサイトの訪問者を狙ったのか、更新していない端末を手当たりしだいに狙ったのかは、はっきりしないとしている。スクリプトを入れているサイトは全体で数千あり、大半はウクライナのものだ。書き換えられていたのは、2026年8月27日から9月3日までだった。
罠のプログラムは、見に来た端末とブラウザの種類を調べる。当てはまれば、その端末の欠陥を突く攻撃を送る。利用者が何かを押す必要はない。
Sekoia が見つけた攻撃は3通りある。盗む範囲は、端末によって大きく違う。どの攻撃も、盗み終えたあとに端末に居座る仕組みは残さない、と Sekoia は書いている。
- iOS 16.7 向け: 盗むのは Cookie だけだ。Cookie は、サイトがログインしたままの状態を覚えておくための記録をいう。端末の中身をまるごと集めるものではないが、攻撃者が Web メールなどに入り込む足がかりにはなりうる。
- iOS 18.5 向け: 「DarkSword」と呼ばれる攻撃の道具一式が使われた。3つの中で、集める範囲がいちばん広い。写真や iCloud Drive のファイル、連絡先や通話の履歴、健康のデータ、居場所の記録が対象になる。やりとりの中身（SMS、iMessage、メール、WhatsApp、Telegram）や、キーチェーン（端末に保存したパスワード）まで含まれる。
- Android の Chrome 139〜145（143を除く）向け: 集めるのは2種類に限られる。Wi-Fi の設定に残るパスワードと、Chrome の中のデータ（Cookie、保存したログイン情報、閲覧の履歴）だ。
誰を狙ったかについて、ホテルの偽サイトは「外交使節団」や大物の客を狙った可能性がある、と Sekoia は見ている。ホテルは英国国防省と首相官邸の近くにある。ただし、これは Sekoia の見立てで、確かめられた事実ではない。Sekoia が挙げた侵入先はほかにもある。オーストラリアの診療所のように、狙いとのつながりが見えないものがある。ブルガリアの軍に関わるサイト、欧州の極右の政党、米国の化学業界の団体も挙げられている。
APT29 の仕業とする見立てについて、Sekoia は確かさを「中〜高」としている。
日本の利用者への影響
Sekoia の報告には、日本の組織や利用者が被害にあったという話はない。罠が置かれたのは、主にウクライナ、米国、欧州のサイトだ。
それでも、他人ごとではない。使われた欠陥は特定の人だけにあるものではない。古い版のままの端末なら、どれにも同じ欠陥がある。
DarkSword については、Google などの研究者が2026年3月に報告している。そのとき、複数の攻撃集団が使っていると伝えられた。道具一式が出回ると、腕の劣る集団でも同じ攻撃ができる。Sekoia も、国の後ろ盾がある集団でこうした使い回しが増えると見ている。
今すぐやること
- iPhone を最新の iOS にする。 「設定」→「一般」→「ソフトウェアアップデート」で確かめる。Sekoia は、OS を最新にしていればこの攻撃は当たらないとしている。
- Android は Chrome と OS の両方を更新する。 Chrome は Google Play ストアで更新する。OS とセキュリティパッチは「設定」の「システム」か「端末情報」から確かめる。
- 更新が来なくなった古い端末は、買い替えを考える。 iOS 16 のままの iPhone や、セキュリティパッチが止まった Android は、直っている欠陥でも突かれ続ける。
- 狙われやすい人は、もう一段守りを足す。 外交、政府、報道、人権の仕事をしている人や、海外の要人と会う人のことだ。Apple は、狙い撃ちの攻撃を受けるおそれがある人に向けて「ロックダウンモード」を用意している。Web の一部の機能などを止めて、攻撃の入口を減らすものだ。Android には、Google の「高度な保護機能（Advanced Protection）」がある。
- 招待状やホテル、イベントの案内のリンクに気をつける。 Sekoia の見立てでは、ホテルの偽サイトは狙い撃ちのメールで送られた可能性がある。America250 の偽サイトは、招待を装ったメールに使われた可能性がある。案内を受け取ったら、公式のサイトを自分で開いて確かめる。
背景
APT29 は、Midnight Blizzard や Cozy Bear とも呼ばれる。Sekoia によると、欧州の政党を狙ってきた過去があり、今回の侵入先にもそれと合うものがある。
スマホの水飲み場攻撃は、今回が初めてではない。Google の Threat Analysis Group は2024年、APT29 によるとされる攻撃を報告した。モンゴル政府のサイトに罠を置き、iPhone と Android の Chrome を狙ったものだ。そのとき使われた攻撃は、NSO Group や Intellexa といった、スパイウェア（監視用の不正プログラム）を売る会社の攻撃とそっくりだった、と Google は書いている。Sekoia は、今回の攻撃にもこの2024年の攻撃と似た点があるとしている。
今回の DarkSword も、Sekoia は監視用の道具を売る会社が作ったものだと見ている。高い値段で売られていた攻撃が、修正の後に国の集団の手に渡る。そして、更新していない端末を狙い続ける。修正が出たあとも、古い端末を使う人にとって危険は消えない。
技術者向けの詳細
Sekoia が挙げた攻撃（すべて修正済みの欠陥）
| 対象 | 版 | CVE |
|---|---|---|
| iOS（Cookie を盗む） | 16.7（Sekoia は 16.0〜17.4 で動くとする） | CVE-2025-43529, CVE-2024-27834 |
| iOS（DarkSword） | 18.5 | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520 |
| Android Chrome | 139〜145（143を除く） | CVE-2026-3910（V8）, CVE-2025-27038（Qualcomm Adreno GPU ドライバ） |
修正の時期
- CVE-2025-43529 / CVE-2025-14174（WebKit）: iOS 26.2 と iOS 18.7.3（2025-12-12、Apple の発表）。Apple は、狙った個人への攻撃で悪用された可能性があるとしていた。
- CVE-2026-20700（dyld）: iOS 26.3（2026-02-11、Apple の発表）。iOS 18.7.5 のページには載っていない。
- CVE-2025-43510 / CVE-2025-43520（カーネル）: 報道によると iOS 26.1 と iOS 18.7.2（2025年11月）。
- CVE-2026-3910: Chrome 146 の安定版（2026年3月）。Google は悪用を確認している。
- CVE-2025-27038: Qualcomm の2025年6月の公表で、限られた狙い撃ちの攻撃に使われた可能性があるとされた。
- Apple のページ（2026-10-30時点）では、最新の iOS は 27.2。
侵入の跡（Sekoia が公開したもの。一部）
- 偽のドメイン:
theowo[.]club,america250[.]holiday - 攻撃を送るドメイン:
static.flux-telemetry[.]com,adsprism-stat[.]com,edge-ord.clouds-stacks[.]com - 転送先:
ads-it-assets[.]com,cdn.adv-static[.]com,wpvortex-mod[.]com,assets-int[.]com - データの送り先:
ad.starx-net[.]com（8881番ポート） - 書き換えられたスクリプト:
a.plerdy[.]com（2026-08-27〜09-03）
Plerdy を入れているサイトを運営している人は、その期間に読み込まれたスクリプトとアクセスの記録を確かめるとよい。報告に載せていない侵入の跡は、Sekoia の有料の脅威情報サービス（Sekoia CTI）で出すとしている。各国の CERT や捜査機関には、TLP:AMBER（関係者の範囲に限って共有する決まり）で渡せるとも書いている。詳しくは Sekoia の報告 を見てほしい。
