iPhoneに不審なカレンダーなどが表示される報告が相次ぐ

人気のスマホブランドとして国内でも大人気のiPhoneですが、このカレンダーに不審な表示が発生する報告が相次いでいます。

今回は、iPhoneのiCloudカレンダーを狙った攻撃の内容や具体的な対策、個人情報の漏洩全般への対策について解説します。

本稿は、今日の10分セキュリティラジオの放送を加筆修正したものです。

iPhoneで発生している不審なカレンダー表示とは？

情報処理推進機構（IPA）が発信している「安心相談窓口だより」では、2020年1月から3月にかけて、iPhoneのカレンダーに不審な表示や通知が届くといった被害が報告されているとして注意喚起を呼びかけています。この不審な表示は2021年1月現在も確認されており、具体的には、

iPhoneのカレンダーから、ウイルス感染しているという通知が出る
iPhoneのカレンダーに、身に覚えのないイベントが入っている

といった相談が寄せられています。

iPhoneの仕様を狙った攻撃で、URLをタップさせ個人情報を盗む

iPhoneではiCloudカレンダーの機能を利用することで、イベントや予定を素早く同期することができます。

GoogleやOutlookなどのカレンダーにも同様の機能が用いられていますが、今回の攻撃ではこの仕様を逆手に取り、まずユーザーのiPhoneに身に覚えのないイベントや不安をあおる通知を表示。そこに記載されたURLをタップすることで不審なサイトへ誘導し、不正なウイルス対策ソフトのインストールや、メアド・電話番号・クレジットカード情報といった個人情報を入力させ、マルウェアへの感染や情報を盗み出すといった攻撃を仕掛けます。

この手口が巧妙な点は機能の脆弱性を狙うのではなく、あくまでもiPhoneの仕様を逆手に取って攻撃を仕掛けていること。ウェブサイトやメールアドレスから手軽にカレンダーに同期できる利便性を突いた悪意ある手法といえます。

被害を受けないための対策は？

カレンダーに身に覚えのないイベントが登録されただけでは、スマホが乗っ取られる・ウイルスに感染するといった恐れはありません。あくまでも不安をあおり、そこに記載されているURLをタップさせることが狙いです。

そこで対策としては、身に覚えのないイベントやカレンダーの通知は削除し、スパムとして報告を行いましょう。間違ってURLからアプリのインストールや情報の入力を行うと、セキュリティ被害にあう恐れがあります。

不安を覚えパニックになってしまいますが、こうした攻撃手法があることを理解しておけば、冷静に対処することができるでしょう。

個人情報の漏洩後はセキュリティ被害が増えるの？

さて、今回のiPhoneを狙った攻撃に関わらず、個人情報を狙った攻撃は後を立ちません。ニュースなどでは個人情報が漏洩したといった話題を見聞きしますが、やはりこうした漏洩が起きた後はセキュリティ被害が増加するのでしょうか？

ネット上のセキュリティ被害が増える可能性は高い

結論から述べると、大規模な個人情報の漏洩後は、ネット上でのセキュリティ被害や事件が増える可能性は高いといえます。

とくに多いのが、リスト型攻撃と呼ばれる手法です。リスト型攻撃とは、何らかの形で流出していたユーザー名とパスワードを利用してWebサイトにログインする手法です。正しい情報を利用してサイトにログインし不正利用するため、対策が難しく、ECサイトやクレジットカードからの身に覚えのない請求などから発覚するケースが多く見られます。

今回のiPhoneのケースも、事前に何らかの形で流出したメールアドレスがきっかけの被害と考えられます。

対策としては、複数のサービスでユーザー名やパスワードを共有しなといこと。同じユーザー名やパスワードを使用しないことで、個人情報が漏洩した際のリスクを抑えることができるでしょう。