アップル製デバイスを狙う新たなパスワードリセット攻撃が登場

今回は「アップル製デバイスを狙う新たなパスワードリセット攻撃が登場」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Apple製デバイスのユーザーは新たなフィッシング攻撃に直面している。それは「多要素認証(MFA)爆弾」という、データの窃盗を目的とした攻撃だ。

 セキュリティ関連のブログサイトKrebsOnSecurity.comを運営するBrian Krebs氏は米国時間3月26日付の投稿で、Appleのパスワードリセット機能を悪用したとみられるハッキング攻撃がこのところ発生しているとし、そうした攻撃を受けたユーザーの体験を報告している。それによると攻撃者は、Appleのパスワードリセットツールを使用し、「Apple ID」のパスワードをリセットするよう求める通知を数百件とはいかないまでも、数十件単位で標的に送りつけたという。ユーザーがこれら通知のうちの1つにでも「Allow」(許可する)を選択してしまうと、攻撃者はユーザー認証情報のリセットに向け、1歩近づくことになる。このデバイスを使って新たなパスワードを設定できるようになるためだ。しかも残念なことに、全ての通知に対して「Don’t Allow」(許可しない)を選択したとしても問題が解決するわけではない。

 同投稿によると、標的になった人々がパスワードのリセットを許可しないという選択肢を選ぶと、Appleのサポートチームを名乗る攻撃者からの電話がかかってきたという。攻撃者の目的は、ユーザーのデバイスにパスワードのリセットコードが送信されるよう仕向け、ユーザーからそのコードを聞き出すことだとされている。コードが分かれば、Apple IDのパスワードをリセットし、標的としているユーザーのアカウントへの全面的なアクセスを得ることができる。

 Krebs氏に情報を提供した人々は、こうした通知に対して「許可する」を選択しなかったため、許可した場合に攻撃者が何をしようとしたのか明らかではない。おそらく許可した場合でも、Appleサポートを名乗って標的に電話をかけ、デバイスのパスワードをリセットするよう仕向け、そのパスワードを聞き出そうとしていただろう。

 このMFA爆弾攻撃の影響を受けたAppleユーザーの数は不明だ。しかし、Krebs氏の情報源は、「iPhone」「Apple Watch」「Mac」で通知を受け取ったと報告しており、この攻撃が1種類のAppleデバイスだけに限定されたものではないことを示唆している。さらに悪いことに、この攻撃を止める簡単な方法はない。

 情報提供者の1人は、この攻撃に関してAppleに支援を求めたところ、Apple IDのパスワードを変更する際に必要となる28文字からなる復旧キーを作成しておくよう告げられたという。しかし、復旧キーを作成してあったとしても、攻撃者から複数の通知が送り付けられてくるのを防ぐことはできないとKrebs氏は述べている。この問題はどうやらAppleのパスワードリセット機能そのものにあると言えそうだ。このため、同社がその仕組みを変更するまで攻撃者はこの手法を用いてユーザーを狙い続けるだろう。

 今のところAppleユーザーにとって唯一の選択肢は、常に情報を入手し、警戒を怠らないことだ。突然パスワードリセットのリクエストが大量に送られてきたら、必ず通知で「許可しない」を選ぼう。通知のせいでデバイス上のアプリやサービスを利用できないからといって、「許可する」を選んではならない。いずれにせよ着信に備え、決して応答しないことだ。

 また、Appleはユーザーに直接電話をかけることはないと明言している。そのため、Appleのサポートに見せかけた電話番号からかかってきた場合は、決して応答せず、ましてや発信者に情報を提供することがあってはならない。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
テクノロジー・スプリントによる新たな成長基盤の構築
IT関連
2023-10-21 09:46
量子クラウドデータセンターから量子鍵配送まで、量子サービス(QaaS)目指すTerra Quantum
IT関連
2022-01-22 06:33
EUがValveほか5つのゲームパブリッシャーにジオブロッキング行為で9.8億円の罰金
ゲーム / eSports
2021-01-22 08:56
東急建設、社外秘だった二酸化炭素排出量の算定ツールを公開
IT関連
2023-02-23 16:51
[速報]オラクル、シングルラックでOracle Cloudと同等の機能を備えたハードウェアを開発中。Oracle CloudWorld 2022
Oracle
2022-10-20 02:39
メルぺイ、一部加盟店での決済を停止 フィッシングメール急増で不正ログインが発生
セキュリティ
2021-06-09 17:40
NEC、新周波数チャネルとVLAN対応のプライベートLTEシステムを発売
IT関連
2021-05-07 05:09
経営管理のために使用されているツール、「表計算ソフト」が約4割–満足度は約2割
IT関連
2024-03-16 14:50
JR東海、チャット「direct」導入で業務をデジタル化–情報連携のスピードアップ
IT関連
2025-01-19 12:18
三井住友ファイナンス&リース、リース契約の請求・支払関連業務の帳票を電子化
IT関連
2021-06-25 12:49
IBM社長ジム・ホワイトハースト氏がわずか14カ月で退任
その他
2021-07-04 22:47
リコージャパン、新事業戦略を発表–AI、セキュリティ、脱炭素ソリューションを強化
IT関連
2024-08-23 04:11
テレワーク正式導入のスクエニ、ゲーム開発への影響は? 「ドラクエX」責任者に聞く (1/2 ページ)
キャリア・しごと
2021-01-27 22:39
大多数の従業員が業務でのAI活用を希望–MS調査
IT関連
2023-01-31 07:31