要点
- セキュリティ企業 iVerify の報告で、スパイウェア（端末の中身を盗み見るソフト）の検知の75%が、国家ではなく犯罪者によるものだった。
- 被害は要人だけではない。企業で確認された感染者は、全員が役員より下の一般社員だったという。
- iPhone では、広告や改ざんされたサイトを見るだけで感染しうる手口が使われている。Apple の脅威通知は届いていないとされる。
何が起きたか
iVerify は「Advanced Mobile Threat Report 2026」を公開した。同社が監視している端末の集まりを調べた結果だ。
数字は次のとおり。消費者向けの iOS 端末1,000台あたり1.07台で感染を確認した。約900台に1台にあたる。同社は、これは同社が見ている端末の集まりの数字で、すべての iPhone の数字ではないと注記している。調べた台数や期間、利用者の偏りは、報告のページでは明かされていない。数字は慎重に読む必要がある。
検知の75%は犯罪者によるもので、使われたのは DarkSword と Coruna という攻撃ツール一式だ。どちらも2026年3月に存在が明るみに出た。もともと政府向けの高度な技術だったが、いまは犯罪者が使っている。DarkSword は GitHub にも流出し、別の派生版が作られている。金融機関の社員の端末で見つかった例もある。The Record（Recorded Future News）によると、目的の多くは認証情報や暗号資産の窃取だ。
感染の経路として、iVerify は次を挙げている。
- 広告: 広告が表示されるだけで動く「ハーフクリック」攻撃。Instagram を見ている最中に出た広告の例を記録した。
- 改ざんされたサイト: 見ただけで感染する場合がある。
- App Store のアプリ: FomoPeek というアプリに、他のアプリのデータを盗める仕掛けがあった。iVerify は「App Store のアプリだけなら安全」とは言えなくなったと述べている。
Android では、操作を補助する機能（アクセシビリティ）を悪用して端末を乗っ取る遠隔操作アプリが出回る。HyperRat、Cellik、Octagon などだ。iVerify によると、Google Play Protect が悪意あるアプリを検知できたのは、同社が見つけた端末の半数未満だった。安価な Android 端末に、最初からマルウェアが入っている例もあるという。
日本の利用者への影響
日本の利用者への影響を示した数字は、確認できた範囲では見当たらない。ただし iPhone も Android も日本で広く使われている。手口は端末の種類に依存するもので、日本だけが除外される理由は示されていない。なお Coruna の被害は、中国語の偽の金融サイト経由と報じられている。
今すぐやること
- iPhone と Android の OS を最新にする。iVerify も、更新の徹底を勧めている。
- 入れているアプリを見直す。使っていないものや、出どころの怪しいものは消す。Android では、提供元不明のアプリのインストールを避ける。
- Android では、アクセシビリティの権限を持つアプリを確認する。心当たりのないものは外す。
- 端末は、信頼できる販売店で買う。極端に安い端末や、出どころの不明な中古品は避ける。
- 暗号資産やネットバンクを使うなら、端末の挙動を気にかける。急な発熱、電池の減り、見覚えのない操作があれば、初期化も考える。また、Apple の脅威通知が来ないから安全、とは考えない。
背景
スパイウェアといえば、Pegasus のように、国家向けにだけ売られる商用製品が知られてきた。標的は記者や活動家、政治家が中心だった。iVerify の2024年12月の報告では、同社の検査で Pegasus が1,000台あたり2.5台で見つかっている。
今回の報告で変わったのは、使い手の広がりだ。高度な攻撃ツールが流出や転売で犯罪者に渡り、金を狙って広く使われる。Android でも、月額約150ドルで借りられる遠隔操作アプリがあるとされる。
数字は iVerify の発表であり、第三者による検証は確認できていない。
技術者向けの詳細
- 一次情報: iVerify「Advanced Mobile Threat Report 2026」。
- 感染率: 消費者端末で1.07/1,000。企業は0.7/1,000（The Record による）。
- DarkSword: JavaScript ベースの iOS 向け攻撃ツール一式。2026年3月に公開。派生版に「P7」がある。
- Coruna: WebKit とカーネルの欠陥を使う。Google Threat Intelligence Group が2025年2月に最初に確認した（The Record による）。
- FomoPeek: App Store 経由で配布。サンドボックスを抜けて他アプリのデータを取る仕掛けがあった。
- Android の RAT: HyperRat、Cellik、Octagon。アクセシビリティサービスを悪用する。エクスプロイトは不要。
- 報告書の勧め: 全社員への対策拡大、パッチ適用と sideload の制限、端末上の EDR、信頼できる調達経路。
- 侵害の痕跡（IOC）の一覧は、確認したページには載っていなかった。
