この2年半、iPhoneをハッキングするために多数の多数の悪意あるウェブサイトが作られてきたと Googleが発表したことをTechCrunchは先週報じた。
この問題に詳しい情報源はこうしたサイトの一部はウイグルのムスリムをターゲットとしており、国家的背景があったと考えていることをTechchCrunchはつかんだ。おそらくは新疆ウイグル自治区のムスリムコミュニティに対する中国政府の攻撃の一環だという。
そうであれば、近年繰り返されてきた中国政府によるムスリムマイノリティ迫害の新たな例だ。国連人権理事会が「ウイグルで100万人以上のムスリム住民が不当に拘束されている」として北京政府に強く抗議したことを先週 WSJが報じたところだ。
iPhoneをハッキングするための悪意あるサイトを発見したのはGoogleのセキュリティ専門家だが、これまで誰をターゲットとしているのか明らかでなかった。
Googleが発見したサイトは訪問してページを開くだけでサーバーが訪問者のデバイスをハッキングし、ユーザーの活動をモニタリングを行うマルウェアを埋め込むブービートラップ式攻撃を行うという。ひとたび感染するとiPhoneのソフトウェアに無制限のアクセスが可能となり、攻撃者はユーザーのメッセージ、パスワード、位置情報などをほとんどリアルタイムで知ることができるようになる。
この攻撃を可能にしたiOSの脆弱性についてGoogleがAppleに密かに警告したため、 同社はiOS 12.1.4のアップデートで修正したという。この攻撃が行われたのは今年2月だったが、明らかになったのは先週だ。
こうした悪意あるウェブサイトへの訪問者は「少なくとも2年間にわたって毎週数千人いた」とGoogleは述べている。
米国時間9月1日、Forbes（フォーブス）も我々の記事を受けて、 このハッキングの事実を確認した。iPhoneだけでなく、AndroidやWindowsのユーザーもターゲットだったという。この攻撃は当初Googleが発表したよりはるかに広範にウイグルの住民をターゲットとしたものとフォーブスの記事は示唆している。
被害者は悪意あるサイトへのリンクを開くよう誘い込まれる。サイトがユーザーのデバイスに読み込まれるとマルウェアに感染してしまう。これはスパイウェアを仕込むためによく用いられるテクニックだ。
TechCrunchが取材した情報源によれば、マルウェアを含むサイトはGoogleにインデクシングされるため、ウイグル住民だけでなく、Google検索から偶然サイトを開いたユーザーのデバイスにも感染するという。このためFBIはGoogleにこうした悪意あるサイトを検索結果の表示から削除するよう要請した。
Googleの広報担当者は公表された事実以上のコメントを避けた。 FBIの広報も報道に対して「肯定も否定もしない」方針だと述べた。
これらのサイトは訪問しただけで無差別にユーザーが被害を受ける「ウォーターホール攻撃」であるため危険度が高かった。ブログ記事を公開した後、Googleは「なぜサイト名などの詳細を発表しなかったのか？」と一部から批判された。またGoogleはこの攻撃を行った容疑者についても沈黙している。
Appleはこの件についてコメントを避けた。ニューヨーク市の中国領事館に対してメールでコメントを求めたがこれにも回答がない。
アップデート：フォーブスの記事を受けて関連する部分を補足した。
画像：Getty Images
［原文へ］
（翻訳：滑川海彦@Facebook）