Sekoia、偽サイトでiPhone・Androidを狙うスパイ活動を確認

本物そっくりのサイトと偽の招待

攻撃者は本物に似たURLのサイトを作成した。一例が米国独立250周年の関連サイトで、本物に似たアドレスに悪意あるコードを仕込み、ページを開くだけで動作するようにしていた。ほかにロシア・ウクライナ戦争に関連するサイトや、ロンドンのラッフルズ・ホテルの公式サイトを模した偽サイトも使われた。標的にリンクを開かせるため、偽のカレンダー招待やイベント通知、巧妙な文面のメッセージも利用された。

攻撃は複数段階で進む。偽サイトを訪れると、JavaScriptのコードがブラウザ、端末、OSの種類を調べる。その情報に基づき、攻撃者は3種類の脆弱性の連鎖から適切な手法を選ぶ。一部の攻撃は「ゼロクリック」技術に依存し、被害者がリンクのタップやファイルのダウンロードといった操作をしなくても侵入が成立する。

修正済みでも危険な理由

攻撃には「Nデイ」脆弱性が使われている。すでに発見され、公式アップデートで修正された欠陥だが、更新していない端末では悪用が可能なままだ。更新を先送りしているユーザーは、メーカーが対策を出していても危険にさらされる。

対策として、iOSやAndroidの最新版を速やかに導入し、アプリとブラウザも更新することが推奨される。不審なメッセージや身に覚えのないカレンダー招待のリンクは開かず、個人情報を入力する前にURLを確認したい。見た目が本物と同じでも安全とは限らない。