iPhoneウイルスの現状、iOSの安全神話は捨てるべき

iOSへの危機が具現化？

　本連載でウイルス対策に関する記事をいくつか投稿してきたが、過去の記事が今でも週末などにITmedia エンタープライズのアクセスランキングの上位に入ることがあり、このあたりへの関心が強いようだ。

【その他の画像】

●こんな記事が読まれています。

・ウイルス対策ソフトは「どれも同じ？」「効果なし？」――その疑問に答えよう
・Android OSから見たセキュリティ対策ソフトの制約
・ホント？　PC並みには期待できないAndroidのウイルス対策アプリ

　最近、仕事の関係者から「人気の高いiPhoneの安全はどうなのか？」「一部のネット記事では危なくないとあったが本当か？」といった質問をいただいた。学生が「iOSはウイルスがいないから対策ソフトなんて無意味だ」と本気で話している場面にも遭遇している。今回はiOS製品を取り巻く状況から整理していこう。

2013年

　2年前では、まだ直接的な脅威はなく、2012年7月には「Find and Call」というアプリがApp Storeで配布されているのが見つかった。これを一部のウイルス対策メーカーは“初めてのiOSに対する不正アプリ”としている。当時の記事「Android狙いは当たり前　iOSも油断ならず――2013年のスマホ脅威と未来予測」のタイトルにもあるように、「iOSも油断ならず」というのが実情であった。

2014年

　初めてiOSでのウイルス感染が確認された年だ。当時の記事「非“脱獄”のiOSにも感染するマルウェア現る、中国で大量流通」の冒頭に、「『Jailbreak』されていないiOS端末に感染するマルウェアは、これまで理論的には実証されていたが、実際に出回ったのは初めてだという」とある。

　ご存じの読者が多いと思うが、Jailbreakとは別名「脱獄」とか、Androidでは「ルート化」などとも呼ばれているものだ。利用者がメーカーの推奨していない行為をすることで管理者権限を奪取し、さまざまな改造を行うものである。つまり、大部分の利用者には関係ないと思われていた「脱獄したスマホでのみ感染する」ということが、実は違う状況に変わり、一般の利用者でもウイルスに感染する可能性が出てきた。詳細は記事にあるが、上に挙げた一文がすべてを物語るだろう。

　この年には初めて、トレンドマイクロがiOS用のセキュリティソフトも発売している。そう、iOSの安全神話は昨年頃から崩れていったのである。

　今ではiOSにおけるウイルスの種類、規模、そして被害とも、Androidに急速に近づいている状況だ。例えば、ITmediaが次のような記事を報じている。

・iOSの正規アプリをマルウェアに置き換えられる脆弱性、セキュリティ企業が報告
・ワンクリック詐欺アプリ、iPhoneなどを標的に
・Apple、マルウェア感染アプリ25本を公表

●今までiOSはなぜ安全だったのか？

　これはAndroidとの比較という意味では、両方のソースコードを慎重に比較しないとセキュリティ視点での評価が難しいが、ある程度想定を含めて考察すると以下の2つが挙げられる。

iOSのソースコードは非公開

　つまり、犯罪者がウイルスを作成しようにも、OSの挙動でどうしても見えない部分があり、ウイルスを仕込むことが容易ではなかった。

Androidの方が金を盗める

　要はコスパ（コストパフォーマンス）だ。WindowsやMacでも似た状況だが、犯罪者は同じ労力をかけて搾取できる金銭を考えると、やはり利用者数が多く、富裕層やビジネス層の多くが利用している方を狙う。スマホの世界シェアは2014年第４四半期時点でiOSは15％程度だが、Androidが8割を超えている。圧倒的にAndroid利用者の方が多いのです。しかもiOSは、比較的若者での人気が高く、プライベート利用が多いという。ウイルスを作成する側にとっては、シェアの差以上の“格差”を感じ取ったのであろう。

　こうした理由から、今まではAndroidがターゲットにされていたということになる。それではiOSの安全神話が崩れたとして、その対策はどうなるのか。現実的な問題に触れていく。

●iOSのセキュリティ対策をどうするか？

　まず対策には、大きく「検知」「被害の特定」「駆除」がある。前述の通り、iOSのソースコードはAppleが独占しているため、「検知」は論理的にほぼできない。これは重要な点で、この基本的なの考えをしっかり覚えておいていただきたい。ただ、ソースコードがApple社外に漏れるとか、OSでのプロセスがブラックボックス化されていても、多数の実証実験の結果からウイルスを仕込むことが論理的には可能という側面もある。

　例えるなら、AndroidやWindowsは身長が2メートルを超え、どこにいても目立つことから、攻撃されやすい。そのための“鎧”や“兜”が山のようにある。一方、iOSの身長は普通かもしれないが、少なくとも鎧や兜はない状態だ。ナイフで刺されたら、Windowsは多数のウイルス対策ソフトという鎧や兜、防弾チョッキで守れるので、致命傷にはなりにくい。しかし、iOSは防御の術がないので、そのまま刺されてしまう。だから、iOSにおける最も効果的な防御は「ナイフ（＝ウイルス）に近づかないこと」が現実的であり、対策内容のほとんどを占めるということだ。

　後述するが、iOSにおけるセキュリティ対策ソフトは、根本的にウイルス自体を無効化し、駆除するものではない。だが、セキュリティの壁を高くするという効果は期待できる。それぞれの利用環境に応じて実装し、以下のことを心掛けていただきたい。


1. 怪しいWebサイトには行かない
2. メールのリンクをクリックしたり、添付ファイルを開いたりしない
3. アプリのダウンロードは相当に注意する
4. PCとの接続に気をつける
5. インターネット閲覧のWebブラウザは安全なものに
6. 最新のサイバー攻撃動向を知る
7. 公衆Wi-Fiや無料Wi-Fiはできるだけ「暗号化＋VPN」で利用する

　いくつか解説すると、（2）に関してよくネットの記事には「怪しいメール」という表現が見られる。現実的には「怪しい」「怪しくない」というジャンルに意味はない。全てのメールについて、例えば、知人や仕事の関係者なら必ず電話などで本人からのメールかどうかを確認して、添付ファイルを開くぐらいの用心さがほしい。ウイルスに感染しても、本人が気付くことは、まずあり得ない。

　（3）のアプリダウンロードは最も危険な部分だ。App Store以外でのアプリの購入やダウンロードは絶対にしない。App Storeからの購入でも作成者の身元を確認するくらいのことはしてほしい。（4）はiOSのウイルス被害がPCからの感染によるケースが多いためだ。PCが先にウイルス感染し、そのPCにつないだiPhoneにも広がる恐れがある。

　（5）のWebブラウザはiOS向けでは有名でも無料で使えるものが多く、いくつかの選択肢があるのはうれしい点だ。ただ、Chromeなどはデフォルト設定ではセキュリティの壁が低いため、カスタマイズする必要がある。セキュリティの壁は高くしておいた方が望ましい。

　（6）は、情報のアンテナは常に高くして最新情報を入手し、新型の攻撃が急増したなら、その動向を注視して、他に挙げているようなウイルス感染から身を守る術を徹底してほしいということだ。

　最後の（7）における暗号化では「WPA2」の利用をお勧めする。WEPなど古いものは、短時間で通信内容を解読されてしまう。VPNは単体アプリで販売も行われ、無料のものもある。利用条件や制約をよく確認して利用を検討してほしい。

●iOSのセキュリティ対策ソフト

　有名、無名を含めてさまざまものがあるので詳しくは言及しないが、メジャーなものでは「ウイルスバスター モバイル」（トレンドマイクロ）、「マカフィー モバイルセキュリティ」（インテル セキュリティ）、「ノートン モバイルセキュリティ」（シマンテック）などが挙げられる。

　先ほども述べたが、iOS向けのセキュリティ対策ソフトは、WindowsなどのPC向けのウイルス対策ソフトとは大きく違い、ウイルスを根本的に駆除するものではないことを理解しておいてほしい。しかし、こうしたソフトを利用してセキュリティの壁を少しでも高くしておくことは、有効な対策手段となる。

　ここまでがiOSを取り巻く現状ではあるが、筆者としては、例えばWindows並みとはいかなくても根本的なウイルス駆除が可能になるように、状況は良い方に向かうことを願っている。利用者が安心・安全にネットを利用できることが早く実現してほしいと思う。

●萩原栄幸

日本セキュリティ・マネジメント学会常任理事、「先端技術・情報犯罪とセキュリティ研究会」主査。社団法人コンピュータソフトウェア著作権協会技術顧問、CFE 公認不正検査士。旧通産省の情報処理技術者試験の最難関である「特種」に最年少（当時）で合格。2008年6月まで三菱東京UFJ銀行に勤務、実験室「テクノ巣」の責任者を務める。

組織内部犯罪やネット犯罪、コンプライアンス、情報セキュリティ、クラウド、スマホ、BYODなどをテーマに講演、執筆、コンサルティングと幅広く活躍中。「個人情報はこうして盗まれる」（KK ベストセラーズ）や「デジタル・フォレンジック辞典」（日科技連出版）など著書多数。