iPhone 15および16に搭載されているUSB-Cポートコントローラーにセキュリティ上の脆弱性が発見されました。しかし、これを悪用するのは非常に複雑なため、Appleとこれを発見したセキュリティ研究者の両者は、これは現実世界の脅威ではないと結論付けました。

しかし、iPhoneユーザーにとって脅威となるセキュリティ上の懸念事項があります。それは、詐欺師がAppleの内蔵保護機能の一つを回避するために使用している戦術です。最新情報：E-ZPass詐欺メッセージの急増は、中国のフィッシングキットによって引き起こされたようです。下記の新しいセクションをご覧ください。

iPhoneのUSB-Cポートにセキュリティ上の脆弱性

セキュリティ研究者のトーマス・ロス氏は、2023年にAppleのサプライチェーンに初めて導入されたUSB-Cコントローラーチップに脆弱性を発見した。サイバーセキュリティニュースの報道によると、原理的にはこの脆弱性がiPhoneのセキュリティ侵害に利用される可能性があるという。

セキュリティ研究者らが、Apple独自のUSB-Cコントローラー「ACE3」のハッキングに成功しました。iPhone 15とiPhone 15 Proで導入されたこのチップは、USB-C技術における大きな飛躍を象徴するものであり、電力供給を担うだけでなく、重要な内部システムへのアクセスを可能にする高度なマイクロコントローラーとして機能します[…]

[ロス氏のチームは]ACE3チップ上でコード実行に成功しました。チップの起動プロセス中の電磁信号を注意深く測定することで、ファームウェアの検証が行われた正確な瞬間を特定しました。

彼らは、この重要な局面で電磁障害注入を使用し、検証チェックを回避し、修正されたファームウェア パッチをチップの CPU にブートすることに成功しました。

理論上、これにより攻撃者は iPhone を完全に制御できるようになります。

しかし、デバイスへの物理的なアクセスが必要となり、実行は非常に困難です。Macworldの報道によると、Appleは使用された手法を検証した結果、現実的な脅威ではないと判断し、ロス氏もこれに同意したとのことです。

iMessage詐欺師の戦術は保護を回避できる

SMS と iMessage は、フィッシング攻撃を実行するためのリンクを送信したり、iPhone にマルウェアをインストールしようとしたりするために詐欺師によってよく使用されます。

これを防ぐため、連絡先に登録されていない、またはメッセージのやり取りをしたことのない相手からiMessageを受信した場合、iPhoneはメッセージ内のリンクを自動的に無効にします。リンクはプレーンテキストとして表示され、タップすることはできません。

しかし、詐欺師はこれを回避する方法を見つけています。正当な送信者に再度メッセージを送信しないよう指示するSTOPコマンドを使っても、メッセージに返信するよう仕向けられれば、この保護機能は無効になります。

BleepingComputer によれば、たとえ 1 文字の返信であっても、メッセージを送信したという事実は、iPhone がそれを正当なものとみなしてリンクのブロックを解除することを意味します。

AppleはBleepingComputerに対し、ユーザーがそのメッセージに返信するか、送信者を連絡先リストに追加すると、リンクが有効になると語った。

過去数か月間、BleepingComputer は、リンクを再び有効にするためにユーザーを騙してテキストに返信させようとするスミッシング攻撃の急増を確認しています。

このサイトには、USPS と有料道路会社を装った偽のテキストメッセージの例が示されており、それぞれ受信者に「Y」と返信するよう求めています。これによりリンクがアクティブになります。

これはよくあることなので、削除したメッセージ フォルダを調べるだけで、上記の例を見つけて写真を撮ることができました。

最新情報：中国のフィッシングキットによるE-ZPass詐欺

Krebs on Security は、 E-ZPass やその他の有料道路詐欺メッセージの大量発生は中国のフィッシング キットによって生成されたと思われると報告しています。

研究者らによると、SMSスパムの急増は、中国で販売されている人気の商用フィッシングキットに追加された新機能と一致しており、これにより米国の複数の州の有料道路運営者を装った説得力のあるおとりメールを簡単に作成できるようになるという。

自分を守る方法

メールやその他のメッセージで受信したリンクは、意図していない限り、決してタップしたりクリックしたりしないでください。ベストプラクティスとしては、ブックマークを使用するか、URLを手動で入力することのみにし、後者はメッセージが本物であると確信できる正当な理由がある場合のみにしてください。疑わしい場合は、既知の連絡先情報を使用して企業に電話またはメッセージを送信し、確認してください。

• iPhoneのパスワードリセット攻撃から身を守る方法
• AppleがApple IDを保護し、フィッシングやその他の詐欺を回避する方法を公開

写真: 9to5Mac

havebin.com を Google ニュース フィードに追加します。