Appleは、不審なFaceTimeの通話やメッセージについては、特に支払い、返金、パスワードのリセット、個人情報の提供を求める内容の場合は、信頼できないものとして扱うようユーザーに呼びかけています。
この警告は、ソーシャルエンジニアリングを通じてiPhoneやiPadユーザーを標的とする詐欺について解説した、Appleのサポート記事の中で紹介されています。Appleによると、攻撃者は信頼できる組織の代表者を装い、電話、FaceTime、テキストメッセージ、またはメールを通じてユーザーに連絡してくる可能性があるとのことです。
このアドバイスが出された背景には、多くのユーザーが依然としてセキュリティアップデートのインストールを先延ばしにしていて、Appleがセキュリティパッチをリリースした後も、引き続きセキュリティ上のリスクにさらされたままになっているという状況がある。
ここ数ヶ月、おなじみの手口が見受けられます。攻撃者は、説得力のあるAppleブランドを装ったソーシャルエンジニアリングと、iOS 、そして「パッチが利用可能」な状態と「パッチが適用済み」な状態の間の隙を突いて利益を得ているのです。
犯罪者たちが、「Appleサポート」や銀行からのもののように見せかけたFaceTimeの着信を一方的にかけたり、緊急の口座通知や返金オファーを装ったメッセージを送ったりしているとの報告が相次いでいます。被害者が電話に出たり返信したりすると、その手口はほぼ決まっています：
- 電話の相手は、不正行為や技術的な問題が発生していると主張しています。
- 彼らはユーザーに対し、カード情報、オンラインバンキングの認証情報、あるいはApple ID情報を「確認」するよう迫ります。
- 場合によっては、被害者にリモートアクセス用ソフトウェアのインストールを促したり、ワンタイムパスワードの開示を求めたりすることもあります。
このプロセスにおいて、デバイスにマルウェアがインストールされている必要は一切ありません。その「脆弱性」とは、人間の「信頼」であり、それは馴染みのある名前やロゴ、そしてテキストメッセージよりも本質的に信頼性が高いと感じられるリアルタイムの通話によって裏付けられています。そのため、FaceTimeはソーシャルエンジニアリングのための有用な伝達手段となります。特に、ユーザーはデジタルライフの他の場面でAppleからの通知やサポートの案内を目にすることに慣れているためです。
攻撃者の立場からすれば、ソーシャルエンジニアリングと脆弱性を組み合わせることは魅力的な手法です。ソーシャルエンジニアリングによってユーザー名やパスワードを盗み出すことができる一方、ブラウザ側の脆弱性を悪用すれば、ユーザーが罠が仕掛けられたサイトにアクセスした際に、気づかれることなく悪意のあるコードを実行させることができます。これらの攻撃を連鎖させることで、攻撃者はアプリケーションレベルの侵害からシステム全体の制御へと移行することが可能になります。DarkSwordのような攻撃キャンペーンは、まさにこの手法で展開されています。
安全に過ごすには
Appleのアドバイスは明快です：
- 予期せぬ電話やメッセージは信用しないでください。
- 一方的な連絡を通じて、機密情報を決して共有しないでください。
- iPhoneを最新のiOS に常に更新しておいてください。
さらに付け加えると：
- 最新のリアルタイムセキュリティソリューションで、お使いのデバイスを保護しましょう。
- 信頼できるルートを通じて、企業に直接連絡してください。メール、テキストメッセージ、または電話で提供された連絡先情報は使用しないでください。
- Malwarebytes Guardを使用して、そのメッセージが詐欺である可能性が高いかどうかを判断してください。
- 特に、銀行やAppleを名乗る予期せぬFaceTimeの着信には警戒してください。こうした組織が、重大な口座の問題についてFaceTimeを使って連絡してくることはまずありません。
また、Appleはユーザーに対し、不審なFaceTimeの着信を報告するよう求めています：
「不審なFaceTimeの着信（例えば、銀行や金融機関を装ったものなど）があった場合は、その通話情報のスクリーンショットをreportfacetimefraud@apple.com宛てにメールで送信してください。」
iPhoneまたはiPadを更新する方法
iOS iPadOS の最新バージョンを使用しているかどうかを確認するには：
- 「設定」＞「一般」＞「ソフトウェア・アップデート」に進んでください。アップデートが利用可能な場合は、そこからダウンロードしてインストールできます。
- まだ有効にしていない場合は、「自動更新」を有効にしてください。設定は同じ画面にあります。そうすることで、重要なセキュリティ更新プログラムが利用可能になり次第、デバイスにすぐにインストールされるようになります。
詐欺師たちは、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Security 、フィッシング、詐欺SMS、悪意のあるサイトなどからユーザーをMobile Security 。AIを活用したリアルタイムの「Scam Guard」機能が標準搭載されています。
