Appleの「スパイウェア警告」とは何か？ なぜ今、110カ国に通知が広がっているのか

Appleの「スパイウェア警告」が異例の規模に

2026年8月13日、世界各地のiPhoneユーザーに、「Appleは、あなたのiPhoneを標的とした傭兵型スパイウェア攻撃を検出しました」という趣旨の警告が届いた。BleepingComputerの取材に対し、Appleは8月13日に110カ国の対象ユーザーへ脅威通知を送ったことを認めた(参考「Apple sends new ‘Threat Notification’ alerts over mercenary spyware attacks」)。

Appleがこの種の通知を送るのは初めてではない。制度を開始した2021年以降、傭兵型スパイウェア攻撃を検出するたびに年数回の頻度で通知してきた。2024年4月の通知は92カ国、2025年4月には100カ国に及んだ。Appleによると、これまでに通知対象者が確認された国は累計で150カ国を超える。

今回の110カ国という範囲は過去の一斉通知と比べても広い。ただし、Appleは通知を受けたユーザーの総数や国別の人数を公表していない。110カ国の全ユーザーが攻撃されたわけでも、110カ国で大規模感染が発生したわけでもない。「少なくとも110カ国に、個別に狙われたとAppleが判断したユーザーがいた」という意味だ。

さらに、警告は侵入の成功をかならずしも示さない。攻撃を受けた形跡はあっても、端末へのスパイウェア導入に失敗している場合がある。したがって今回の動きを「iPhoneへの世界的な大量感染」と表現するのは不正確だ。一方、傭兵型スパイウェアによる攻撃が、引き続き世界各地で確認されていることを示している。

Appleの「脅威通知」とは何か

Appleの「脅威通知」は、一般的なウイルス対策アプリが表示する注意報とは性格が異なる。Appleが社内の脅威インテリジェンスと調査結果を基に、特定の人物を狙った傭兵型スパイウェア攻撃と整合する活動を検出した場合に発する警告だ。

Appleは調査に絶対的な確実性はないとしながらも、この通知を「高い確度」の警告と位置付け、受信者に深刻に受け止めるよう求めている。単なる不審メールの検出や、一般的なアカウントへのログイン試行を知らせる通知ではない。

2026年からは、iPhoneのロック画面と「設定」に警告が直接表示されるようになった。これに加え、Apple Accountに登録されたメールアドレスへの通知と、Apple AccountのWebページ上部に表示されるバナーが使われる(参考「About Apple threat notifications and protecting against mercenary spyware - Apple Support」)。

• 

  「iPhoneのロック画面（左）と『設定』に表示されるAppleの脅威通知（出典：Apple）

本物かどうか疑わしい場合は、通知メールに含まれるリンクを使わず、自分で「account.apple.com」を開いて確認すべきだ。本物の通知であれば、サインイン後のページ上部にも警告が表示される。

Appleの正式な通知が、メールや電話でApple Accountのパスワードや確認コードを要求することはない。リンクのクリック、ファイルを開くこと、アプリや構成プロファイルのインストールも求めない。警告に便乗し、偽のサポート窓口へ誘導するフィッシングには注意が必要だ。

Appleは通知を出す具体的な検知条件を明らかにしていない。検出した通信や攻撃用サーバーなどの情報を公開すれば、スパイウェア事業者が監視を回避するよう手口を変更できるからだ。同じ理由から、通知だけを根拠として特定の攻撃者、政府、地域を名指しすることも避けている。

「傭兵型スパイウェア」とは何か

傭兵型スパイウェアとは、高度な端末侵入技術を開発し、国家機関などの顧客へ商業的に提供する民間企業の監視ソフトを指す。代表例は、イスラエルのNSO Groupが開発した「Pegasus」だ。このほかにもPredatorなど複数の製品や事業者が確認されている。

侵入に成功したスパイウェアは、メッセージ、メール、写真、連絡先、通話記録、位置情報などを収集できる。製品や権限によっては、マイクやカメラを遠隔操作し、周囲の会話や映像を取得することも可能になる。

通信アプリがエンドツーエンド暗号化に対応していても、それだけで安全とは限らない。暗号化は通信途中での盗み見を防ぐ仕組みだ。端末そのものを乗っ取られ、送信前や受信後の画面を読まれれば、暗号化された会話も取得され得る。

こうした製品は、犯罪やテロの捜査を目的として政府機関に販売されることが多い。しかし、ジャーナリスト、人権活動家、野党政治家、弁護士、外交官らの監視に転用された事例が世界各地で確認されてきた。Amnesty Internationalは、Pegasusが報道関係者や活動家、政府批判者らに使用された技術的証拠を報告している(参考「Pegasus Project: Apple iPhones compromised by NSO spyware - Amnesty International」)。

一般的なサイバー犯罪では、不特定多数に偽メールを送り、少額ずつ金銭を奪う手法がよく使われる。一方、傭兵型スパイウェアは、政治的または情報上の価値が高い少数の人物に巨額の費用を投じる。侵入に使う脆弱性や攻撃システムには数百万ドル規模の価値が付くこともある。

なぜiPhoneでも侵入されるのか

iPhoneには、アプリを隔離するサンドボックス、コード署名、権限管理、データ暗号化など、複数の防御機構が組み込まれている。しかし、安全性が高いことと、侵入が不可能であることは同じではない。

iOSやSafari、メッセージ、画像処理などは膨大なプログラムから構成される。そのどこかに、開発元もまだ把握していない欠陥、すなわちゼロデイ脆弱性が残る可能性はある。潤沢な資金を持つ攻撃者は、複数の脆弱性を組み合わせ、端末への侵入、サンドボックスからの脱出、強い権限の獲得という段階を進む。

特に危険なのが「ゼロクリック攻撃」だ。細工されたメッセージやデータが端末に届いただけで脆弱性が作動し、利用者がリンクを押したりアプリをインストールしたりしなくても攻撃が始まる。画面上に不審な表示が残らない場合もあり、注意深いユーザーでさえ自力で防ぐのは難しい。

攻撃者にとってiPhoneは、政治家や記者、外交官、経営者などが日常的に持ち歩く情報の集積点だ。連絡先、移動履歴、会話、認証情報などを一台から取得できるため、強固な防御を破るための高額な費用を負担する動機が生まれる。iPhoneが特別に安全でないから狙われるのではなく、安全性を突破してでも得たい情報が存在するために狙われる。

なぜ今、Appleの警告が世界で広がっているのか

Appleは今回、通知が110カ国に広がった理由を明らかにしていない。ただし、公開されている情報からはいくつかの要因が考えられる。

警告が広い範囲で確認されるようになった背景として、まず傭兵型スパイウェア産業の拡大が挙げられる。特定企業への制裁や訴訟が進んでも、別の開発企業や仲介業者が市場へ参入している。スパイウェア事業者はゼロデイ脆弱性だけでなく、修正版が公開された後も更新されていない端末に残る既知の脆弱性を利用する。

GoogleのThreat Analysis Groupは、商業監視企業が関与した攻撃について長年調査している。同社によると、商業監視企業は既知のゼロデイ攻撃に大きな割合で関与しており、より新しい防御機構を迂回するため、モバイル端末やブラウザー向けの攻撃手段を継続的に改良している(参考「New Google TAG report: How Commercial Surveillance Vendors work」)。

第二に、Appleの検知能力が向上している可能性がある。Appleは攻撃用インフラや端末上の兆候などを独自に調査していると説明するものの、詳しい仕組みは公開していない。例えば新しい攻撃パターンを発見した場合は、関連する痕跡をさかのぼって調べ、過去に標的となった可能性のあるユーザーをまとめて通知する可能性もある。通知の増加は、攻撃そのものの増加だけでなく、以前なら把握できなかった攻撃を検出できるようになった結果でもあり得る。

第三に、通知の見え方が変わった。従来のメール中心の通知は、迷惑メールと誤認されたり、受信箱で見落とされたりする可能性があった。2026年からロック画面と「設定」に直接表示されるようになり、対象者が警告に気付きやすくなった。結果として、支援機関への相談や公の報告も増え、警告が急増したように見える面がある。

このため、今回の動きを単一の新型スパイウェアによる一斉攻撃と断定することはできない。Appleは通知人数、検出時期、使用された製品、攻撃者を公表していない。「スパイウェア市場の拡大」「検知能力の向上」「通知範囲の広がり」「通知の可視化」が重なった現象と考えるのが妥当だ。

Appleが用意する「ロックダウンモード」

ロックダウンモードは、傭兵型スパイウェアのようなきわめて高度な標的型攻撃に備え、Appleが用意した任意の防御機能だ。iPhoneでは「設定」「プライバシーとセキュリティ」「ロックダウンモード」の順に進んで有効化する。

有効にすると、メッセージでは一部の添付ファイルやリンクプレビューが制限される。Safariでは、JITコンパイルなど複雑で攻撃に利用されやすいWeb技術が停止する。過去に自分から連絡していない相手によるFaceTime着信や、Appleサービスへの一部の招待も遮断される。端末がロックされている間は、有線アクセサリーとの接続にも制限が加わる。

これはスパイウェアを検索して削除するウイルス対策機能ではない。攻撃に悪用され得る機能をあらかじめ減らし、侵入口を狭くする仕組みだ。その代わり、一部のWebサイトや通信機能が正常に動作しないことがある。Appleが「任意の極端な保護」と位置付けるのはこのためだ(参考「Lockdown Mode security for Apple devices - Apple Support」)。

Appleは、脅威通知を受けた場合、ロックダウンモードを有効にし、OSやアプリを最新版に更新することなどを推奨している。そのうえで、Appleが案内するAccess NowのDigital Security Helplineなどへ相談することが望ましい。

一般のiPhoneユーザーも心配する必要があるのか

大多数のiPhoneユーザーが傭兵型スパイウェアに狙われる可能性は低い。Appleも、標的となるのは「その人が誰であるか、何をしているか」を理由に個別に選ばれた、ごく少数の利用者だと説明している。通知を受けていない一般利用者が、日常的にロックダウンモードを使う必要は通常ない。

ただし、有名人でなければ絶対に安全という意味ではない。地方の記者、研究者、弁護士、NGO職員、企業関係者のほか、より重要な標的へ接近するため、その家族や連絡相手が狙われる可能性もある。Appleから正式な脅威通知を受けた場合は、心当たりがなくても無視すべきではない。

こうした基本的な対策だけですべての傭兵型スパイウェアを防げるわけではないが、通知を受けていないユーザーに必要なのは、過度に恐れることではなく、基本的な対策を徹底することだ。iOSを常に最新の状態にし、端末には十分に強いパスコードを設定する。Apple Accountで2要素認証を使い、「盗難デバイスの保護」を有効にする。アプリは原則としてApp Storeから入れ、未知の送信者によるリンクや添付ファイルを開かない。パスワードを使い回さず、利用できるサービスではパスキーを選ぶことも有効だ。

Appleの警告が広がっていることは、すべてのiPhoneが突然危険になったことを意味しない。それが示すのは、国家級の監視能力が民間市場で取引され、世界各地の人物に向けて使用されている現実だ。一般ユーザーは冷静に基本防御を続け、実際に通知を受けた人は、それを通常の迷惑メールではなく、緊急性の高い安全上の警告として扱う必要がある。