ゼロクリック攻撃でマイクもカメラも乗っ取られてしまうなんて…防ぎようがないやん…
領事館で暗殺されたジョマル・カショギ記者、不倫局部写真リークで離婚となったジェフ・ベゾス氏のスマホにも仕込まれていた最恐スパイウェアPegasusが、世界中の要人と報道関係者、人権活動家のスマホに想像以上に広まっていることがわかり、アムネスティインターナショナルが被害状況の報告と併せて検出ツール｢Mobile Verification Toolkit｣（MVT）の公開に踏み切りました。
NSOは各国警察・諜報機関を主要顧客とするイスラエルの民間企業です。サウジアラビア、インド、ハンガリー、メキシコ、アラブ首長国連邦、スペインなどが顧客とされますが、目立つことを極端に嫌う会社で、カショギ記者暗殺事件で世界的に問題になるまで実情はあまり知られていませんでした。だれにも知られたくないプライバシーが実質的な武器になるという明確な認識のもと、スパイウェアを売り歩く現代の｢死の商人｣だとMITは書いてます。
同社が開発するスパイウェアPegasusは｢テロ犯罪撲滅目的の捜査に合法的に使用されている｣という建前になっていますが、政府に盾突く要人のプライバシーを白日のもとに晒して失脚させたり牢屋送りにする目的で使用されるケースも多くてすごく問題になってるんですね。
MITの取材に答えているモロッコの歴史学者は、2017年にiPhoneに届いた不審なショートメッセージから侵入されて人生が一変し、今は刑務所暮らしです。
Washington Postに載っているのもやはりモロッコで10年以上獄中生活している西サハラ独立運動家Naama Asfari氏の夫人の事例で、先月iPhone 11で着信したiMessageでなんらの警告音もないまま侵入されてしまいました。アムネスティインターナショナルが調べてみたら、昨年10月から今年6月にかけて訪仏中に数回に渡ってPegasusに侵入された痕跡がありました。
具体的に何が傍受されたかは不明ですが、Pegasusは侵入されたら最後。メール、通話、留守録、SNS、パスワード、連絡先、写真、動画、録音、Web閲覧履歴はすべて筒抜けですし、本人が触らなくても遠隔操作でマイクやカメラを無断でONにして持ち主の動きを監視できる怖いもの。過去行った場所、現在地、現在向かっている方角、停止中か移動中かまでバレてしまいます。
夫人もモロッコ帰国後は警察に四六時中尾行されるようになったのでおかしいなとは思っていたようですが、｢まさかフランスでこんなことが起こるとは…｣と驚きを隠しません。Appleならスパイされないと思っていたのに…という部分もショックだったみたい。ハックされたiPhone 11のことで取材に応じた週に人から借りたiPhone 6sまでハックされていたことが後日わかったそうですよ？
どんだけしつこいんだ…！
市民団体｢Forbidden Stories｣（本部パリ）が入手したPegasus標的リストには5万件以上の電話番号がありました（NSO社は｢標的リストではない。当社とは一切関係ない｣と否定中）。
うち67の電話番号のスマホをアムネスティインターナショナルが調べてみたら37台からPegasusの感染や感染試行の痕跡が発見され、うち34台はiPhoneでした。感染完了は23台、感染が未遂に終わったのは11台という内訳になります。
暗殺されたカショギ記者の婚約者も手持ちのiPhoneがハックされていた組で、｢なぜみなiPhoneのほうが安全だなんて言うの？｣とトルコのマスコミに6月に語っていますけど、フルに修正パッチを施した最新モデルiPhone 12の最新版OS 14.6までが標的という辺りは、さすがミリタリグレードと言わざるをえません。
Androidスマホで感染が確認されたのは、調査した15台中わずかに3台でした。これはAndroidのほうがログが解析できないので感染と断定しづらいためだとアムネスティの研究員はフォローしています。Appleはセキュリティがしっかりしてるから大丈夫だと思って使う人の母数が多いからというのも関係ありそう。
ただまあ、Googleは｢NSOの動きは逐次追っており、侵入の試みがあれば警告を出す。警告発出は月4,000件におよぶ｣と言っており、攻撃の有無を知る手がかりになるログがないのもセキュリティ対策の一環だとしています。
Appleも期待に応えられるように、もう少しがんばらないと…。
NSOのスパイウェアがかなりヤバいという話が表面化したのは2019年で、配信に利用されたFacebook傘下のWhatsAppが穴を塞いでから公表したのが最初でした。WhatsAppのトップは今回も｢NSOのスパイウェアは世界中で人権蹂躙に利用されている。今すぐ止めないと｣と連続ツイートで改めて怒りを爆発させ、イスラエルの別の民間企業Candiruが開発したスパイウェアDevilsTongueの締め出しに動いたMicrosoftの15日の対応を評価しながら、大企業が一致して動かないと！と叫んでいます。
NSO社についてはアマゾンウェブサービス（AWS）もクラウドアカウントを無効化する措置をとりました。
スパイウェアの違法化は立ち遅れている分野なので、各国政府も早いとこ対応しないと…！
ここまで読んで｢自分も狙われた要人かもしれない！マクロン大統領も狙われたんだし！｣と不安に駆られたみなさまのためにアムネスティは検出ツールも用意しています。端末のバックアップ全ファイルのコピーをとって（完全メモリダンプ取得） 、マルウェア配信関連のIOC（indicators of compromise）も入れたりとか、ちょっと使いこなすのはテクニックが要りますが、手順通りにやれば所要10分ほどでデータをフルスキャンして侵入件数を表示してくれますよ。
Sources: Pegasus Project, Washington Post