すまほん!! » テック » セキュリティ » 【悲報】iPhoneのUSB-Cに重大な脆弱性発覚。コントローラーチップの不正書き換えが可能に iPhoneのUSB-C充電ポートに、新たなセキュリティ上の懸念が浮上しました。セキュリティ研究者のThomas Roth氏は、iPhoneの充電とデータ転送を管理する「ACE3」コントローラーチップが不正に書き換えられるおそれがあると指摘しています。 もし悪意ある人物に物理的に端末を奪われ、このチップを再プログラムされてしまうと、セキュリティを迂回して個人情報へアクセスされる可能性があるとのことです。 iPhoneは、これまでもAppleの厳格な管理体制と、それに挑むセキュリティ研究者や「脱獄」コミュニティとの間で、いたちごっこが続いてきました。Appleは脆弱性をふさぐ一方で、常に新しい抜け道を探すハッカーが後を絶たないという歴史があります。

HUMAN Securityはこのほど、「Traffic signals: The VASTFLUX Takedown｜HUMAN Security」において、高度な広告詐欺を排除したと伝えた。「VASTFLUX」と名付けられたこの詐欺行為は、デジタル広告クリエイティブに悪意のあるJavaScriptコードを注入するマルバタイジング攻撃とされ、最終的にユーザーに気づかれずにデバイス上で動画広告を再生するものだったと説明している。 Traffic signals: The VASTFLUX Takedown 「VASTFLUX」という高度な広告詐欺行為が発見され、排除されたことが明らかとなった。VASTFLUXという名称は、サイバー犯罪者が使用する「Fast Flux」と呼ばれるDNS回避技術と、悪用されたデジタルビデオ広告配信テンプレート(VAST:Digital Video Ad Ser

スマートフォンには個人情報や機密情報が詰まっている。スマートフォンをどこかに置いてくるというのは、現代社会においては致命的な問題を引き起こす可能性が高い。こうした状況に対し、ITベンダーはさまざまな対策を提供しており、紛失したスマートフォンやタブレットデバイスなどを探す機能が提供されている。実際にお世話になった方も多いんじゃないだろうか。 また最近では、スマートフォンは社員証や学生証などの証明書、クレジットカードなどの電子決済システムとしても使われている。バッテリーが切れてしまうとこれらが機能しなくなり、日常生活に支障を来すことになる。 しかし、実際には電源が切れている状態でもこれらは機能することがある。AppleのiPhoneは電源がオフの状態でも、紛失したデバイスを「探す」ことができる。社員証やクレジットカード機能なども同様だ。バッテリー残量が少なくなるとiPhoneは自動的にパワーリ

Appleは2021年9月13日にiOS 14.8およびiPadOS 14.8をリリースし、ユーザーの操作なしで端末がスパイウェアに感染するゼロクリック・エクスプロイトに対応しました。Appleが、脆弱(ぜいじゃく)性の報告からわずか1週間程度で修正プログラムを開発するほどこの問題を重要視している理由について、セキュリティの専門家が一問一答形式で解説しました。 Apple security flaw: How do 'zero-click' attacks work? - Digital Journal https://www.digitaljournal.com/tech-science/apple-security-flaw-how-do-zero-click-attacks-work ◆質問1：そもそもゼロクリック攻撃とは？ iPhoneの脆弱性を発見したトロント大学のサイバーセキュ

ブラジルでは、iPhoneのロックが解除され、銀行口座へとアクセスされることにより金銭が盗まれる事件が数件報告されていましたが、ブラジル警察は犯罪者集団を束ねていた男たちを確保することに成功した、と地元メディアが伝えています。 Face IDやTouch IDの迂回にも成功 ブラジル紙Folha de S.Pauloによれば、ブラジル警察は現地時間7月16日、iPhoneのロック解除を行いユーザーの銀行口座から金銭を盗むことに特化していた犯罪者集団の幹部4人を逮捕したとのことです。 御用となったのは、サンパウロで最も悪名高い犯罪者集団の一つです。彼らはスマートフォンのセキュリティ上の脆弱性につけ込み、特殊なソフトウェアを使ってFace IDやTouch ID、英数字のパスワードを迂回していたようです。 80名の警官と38台の車両で行われた犯罪者集団の確保 警察本部長のロベルト・モンテイロ氏

Malwarebytesは5月14日(米国時間)、「iPhone calendar spam attacks on the rise - Malwarebytes Labs｜Malwarebytes Labs」において、最近iPhoneユーザからの「カレンダーが乗っ取られたイベントで埋め尽くされている」という報告が増加していると伝えた。この現象は「カレンダースパム」と呼ばれている。Malwarebytesはカレンダースパムの詳しい手口を説明しており、カレンダースパムに対する知識をつける上で参考になる。 iPhone calendar spam attacks on the rise - Malwarebytes Labs ｜ Malwarebytes Labs カレンダースパム自体は新しいサイバー攻撃ではない。カレンダースパムは2016年のAppleのiCloudカレンダーで大きな問題とな

ハッキングコンテストに参加した中国人ホワイトハッカーが、ゼロデイ脆弱性を発見し、コンテストで入賞し賞金を獲得しました。通常、こういった脆弱性は開発企業に報告され、修正されたのちに公開されます。しかし、中国政府はこの脆弱性を応用したエクスプロイトを作成し、ウイグル人をスパイするための監視ツールを開発したと報じられました。 Report: China Turned Prize-Winning iPhone Hack into a Surveillance Tool Against Uyghur Muslims https://www.iphonehacks.com/2021/05/china-prize-winning-iphone-hack-uyghur-muslims.html iPhone hack used by China to spy on Uyghur Muslims - 9to

AppleはiPhoneなどのセキュリティを日に日に強化しており、アプリ開発者ですらアクセスできるシステムが限られてきています。しかし一部のハッカーだけは高額なソフトウェアを使用してセキュリティを突破してしまい、セキュリティの障壁に阻まれたセキュリティ企業や捜査当局は調査の手が出せない状況にあると、トロント大学の「Citizen Lab」のビル・マルザック氏が指摘しています。 How Apple's locked down security gives extra protection to the best hackers | MIT Technology Review https://www.technologyreview.com/2021/03/01/1020089/apple-walled-garden-hackers-protected/ 2020年12月、マルザック氏らは、イ

情報セキュリティーに関する相談を受け付けている情報処理推進機構（IPA▼）は2020年10月下旬、2020年第3四半期（7～9月）の相談状況を公表した▼。それによると、「iPhoneに突然表示される不審なカレンダー通知」に関する相談が133件も寄せられたという（図1）。

通常iPhoneなどのiOSデバイスは、App Store以外からアプリをインストールできない。このためパソコンなどと比べて安全性が高いといわれている。だが油断してはいけない。App Store以外からインストール可能な「構成プロファイル」を使った攻撃が出回っているからだ。 セキュリティーベンダーのカスペルスキーは2020年10月中旬、悪質な構成プロファイルについて改めて注意を呼びかけるとともに、危険な現状を明らかにした。 代表例は日本人が作成 構成プロファイルとはiOSやmacOSなどの設定ファイル。実体はXMLファイルで、Wi-FiやVPN、DNSといった各種設定やデバイスの機能制限、デバイス情報の取得などが可能である。 読み込ませるだけで様々な設定が可能なので広く使われている。携帯電話事業者などがユーザーに配布することが多い。iPhoneユーザーの多くはインストールした経験があるだろ

Appleが「iPhone 12」を発売しました。今回の機種は、iPhoneシリーズ初の「5G」（第5世代移動体通信システム）対応です。大手キャリアはもちろん、大手キャリア以外のMVNO（仮想移動体通信事業者）でも、端末設定により5G対応端末を利用可能です。 一般的に、MVNOでiPhoneを利用するためには「構成プロファイル」と呼ばれるXML形式の設定ファイルのインストールが必要です。ユーザーの中には、言われるがままこのファイルをインストールする方もいるかもしれません。しかしその構成プロファイルは、本当に安全でしょうか。今回は、カスペルスキーの調査レポートを紹介します。

ハッカー、セキュリティ研究者、リバースエンジニアからなるチーム「Unc0ver」が米国時間5月23日、「iOS」デバイス向けの新たなジェイルブレイク（脱獄）パッケージをリリースした。 Appleはセキュリティの観点から、「iPhone」をはじめとするiOSデバイスのデフォルト設定で、ユーザーに完全な権限を与えないようにしている。 Unc0verは23日、ジェイルブレイクソフトウェアの最新版「Unc0ver 5.0.0」をリリースした。このパッケージを使うと、iOSの最新版「iOS 13.5」を実行するデバイスを含むほとんどのiOSデバイスをルート化し、ロック解除することができる。 こうしたことが可能になるのは、Appleが認識していないiOSのゼロデイ脆弱性をUnc0ver 5.0.0が利用しているからだという。 そのゼロデイ脆弱性は、Unc0verのメンバーの1人（Pwn20wnd氏とし

Googleのセキュリティチーム「Project Zero」の研究者らは、複数のウェブサイトがハッキングされて、長年にわたって訪問者の「iPhone」にマルウェアを忍び込ませていたことを発見したと発表した。そうしたサイトを訪問したユーザーは、メッセージ、写真、位置データを読み取られていた可能性があるという。同チームは、2019年に入ってこの発見内容をAppleに報告済みで、この脆弱性は「iOS 12.1.4」で修正されたという。 「攻撃は無差別だった。ハッキングされたサイトを訪問するだけで、エクスプロイトサーバーはそのユーザーの端末を攻撃することができ、それに成功すると、監視プログラムをインストールする。それらのサイトには毎週数千人の訪問者がいると推定される」と、Project ZeroのIan Beer氏は、同チームの発見内容を詳しく説明する米国時間8月29日付けのブログ記事に記している

Appleは米国時間8月26日、「iOS」のセキュリティアップデートをリリースした。以前のリリースで修正したバグを同社が誤って元に戻したために、iOSの現行バージョンに新たな“ジェイルブレイク（脱獄）”を可能とするセキュリティ脆弱性が生じていたが、そのバグが修正されている。 GoogleのセキュリティチームProject ZeroのセキュリティエンジニアであるNed Williamson氏が発見した元のバグは、不正なアプリが「Use After Free」の脆弱性を利用して、iOSカーネルにおいてシステム権限でコードを実行できるものだった。 このバグは、iOS 12.3で最初に修正されたが、7月のiOS 12.4で誤って元に戻されており、26日にリリースされたiOSバージョン12.4.1は、これを再度修正している。 Appleのこの失態が見過ごされることはなく、8月に入ってPwn20wnd