iOSとAndroidの既知脆弱性を悪用したスパイ攻撃
原題: Hackers exploited iOS and Android flaws to infect phones
なぜ重要か
国家レベルの攻撃者が既知脆弱性を外交標的へのスパイ活動に組み合わせる手口は、パッチ適用の遅れが安全保障リスクに直結することを改めて示す。
2026年11月4日、セキュリティ企業Sekoia の研究者は、ロシア対外情報庁（SVR）傘下とみられるAPT29が、iOSとAndroidの既パッチ済み脆弱性を悪用し、複数のウェブサイト訪問者のスマートフォンに感染を試みたと報告した。標的には米国独立250周年記念サイトのなりすましドメインや、ウクライナのガス大手企業の侵害サイトが含まれる。
Sekoiaの研究者が「中〜高い確信度」でクレムリン関与と評価したこの攻撃は、「ウォータリングホール」手法を採用している。iPhoneまたはAndroid端末のユーザーが対象サイトを訪問した瞬間、トラフィックに注入されたJavaScriptが端末を詳細にプロファイリングし、プラットフォームに応じたペイロードを送り込む仕組みだ。最終的な目標はブラウザのCookieの窃取で、場合によってはWi-Fiパスワードや端末内の全データが対象となる。
攻撃の入口は三種類確認されている。まず、正規サイトへのトラフィックへの直接JavaScriptインジェクション。次に、america250[.]holidayのようなプロキシドメインの運用で、本物のamerica250.orgにリバースプロキシしながら悪意あるスクリプトを付加する。三つ目は、数千のウェブサイトにサービスを提供するウクライナ製ウェブ解析サービスのサプライチェーン侵害だ。
標的の選定は外交的な意図を示唆する。ロンドンの高級ホテル「Raffles London at The OWO」のなりすましサイトも確認されており、同ホテルは英国防省や首相官邸10 Downing Streetから至近距離にある。さらにオープンソース情報によれば、ウクライナのゼレンスキー大統領が10月14日に同ホテルに滞在していた。研究者らは「外交代表団や要人を標的にするためにこのサイトを選んだ可能性がある」と指摘する。
攻撃は三種類のゼロクリックエクスプロイトチェーンを使用。ユーザーが何も操作しなくても感染が成立する。Sekoiaはこの手口とAPT29が過去に使用した手法との類似性を根拠に帰属を判断している。今回悪用されたのはすでにパッチが当たった既知の脆弱性（N-day）であるが、端末を最新状態に保っていないユーザーには依然として有効な攻撃となる。