【iOS 速報】「Coruna」など新型攻撃ツールを確認。全ユーザー、今すぐソフトウェアアップデートを！

Apple は、古いバージョンの iOS を搭載した iPhone が、「Coruna」および「DarkSword」と呼ばれるエクスプロイトキットによる攻撃にさらされていると警告し、ユーザーに対してiOSを最新バージョンへアップデートするよう強く呼びかけています。

Coruna ならびに DarkSword とは、一言で言えば iPhone を乗っ取るための攻撃ツールです。特定のWebサイトを閲覧するだけで、iPhoneの 脆弱性を自動的に突いてくるものです。攻撃が成功すると、パスワードや暗号資産ウォレット、銀行情報などの重要なデータが、ユーザーが気づかないうちに外部へ送信されてしまいます。どちらも国家機関や高度なサイバー犯罪グループによる利用が確認されており、一般の企業や個人も標的になり得ます。

セキュリティ研究者は、古い iOS バージョンを標的にしたWebベースの攻撃を特定しました。これらの攻撃は、悪意あるリンクをクリックするだけでなく、改ざんされたWebサイトを訪れるだけで脆弱性を突かれてしまうものです。攻撃が成功した場合、iPhone に保存された重要なデータが窃取される恐れがあると、Apple のセキュリティアドバイザリは警告しています。

フィッシングとは異なり、ユーザーが能動的に情報を入力する必要はありません。脆弱性のあるiOSを使用していれば、該当するサイトやリンクを踏むだけで被害を受ける可能性があります。

これは、多くの人が訪れるようなサイトに悪意のあるプログラムを仕込む「Watering hole攻撃（水飲み場攻撃）」という手口によるものです。Apple は問題を徹底的に調査し、最新のOSバージョン向けにできる限り速やかにアップデートをリリースしたとしています。現時点で最新の iOS を使用しているデバイスは、これらの攻撃に対して脆弱ではないとのことです。

Apple は、バージョン別に以下の対応を推奨しています。

また、「ロックダウンモード^※」を有効にすることで、古い iOS でもこれらの攻撃をブロックできるとされていますが、それでもアップデートは強く推奨されています。

^{※ ロックダウンモード：iPhone に搭載されたセキュリティ強化機能で、不審なWebコンテンツや外部からの接続を厳しく制限するものです。このモードを有効にすることで、古い iOS でもこれらの攻撃をブロックできるとされていますが、それでもアップデートは強く推奨されています。}

2025年2月、Google の Threat Intelligence Group（以下、GTIG）は、「Coruna（別名：CryptoWaters）」と呼ばれるiOS向けエクスプロイトキットを発見しました。

このツールキットが厄介なのは、その「出所と拡散の経緯」にあります。もともと Coruna は、ウクライナ・ロシア間の紛争を背景に、ロシア関連グループ「UNC6353^※」がウクライナへのサイバー攻撃に使用していたことが確認されています。いわば国家レベルの諜報活動のために開発、運用されてきたツールです。

^{※ UNC〇〇とは、Google がつけている脅威アクター名です。「Uncategorized」の頭文字を取ったものであり、「未分類」という意味です。}

ところが GTIG の追跡により、同じ Coruna がその後、中国系金融詐欺グループ「UNC6691」による大規模な詐欺攻撃にも転用されていたことが判明しました。国家の諜報目的で作られた高度な攻撃ツールが、金銭目的のサイバー犯罪グループに「二次流通」していたわけです。

これが今回の最大のリスクです。もはや標的は政府機関や軍事組織だけではなく、暗号資産を扱う個人や、セキュリティ対策が手薄な一般企業も十分に射程に入っています。Coruna の攻撃が成功すると、端末内の暗号資産ウォレットや銀行情報が自動的に外部へ送信されてしまいます。

詳細について関心のある方向けに、Coruna が対象とする iOS バージョンと脆弱性の一覧を以下に掲載しています。

^{引用：Coruna: The Mysterious Journey of a Powerful iOS Exploit Kit｜Google Cloud Blog}

Coruna で培われた攻撃手法は、そこで止まりませんでした。

2025年末、Lookout Threat Labs は DarkSword と呼ばれる新たなエクスプロイトキットを発見しました。調査の結果、DarkSword は Coruna と同じ攻撃インフラや手法を引き継いでいることが確認されており、言わば Coruna の「次世代版」とも言える存在です。

注目すべきは、その標的です。Coruna が対象としていたiOS 17系までとは異なり、DarkSword は iOS 18.4 以降の最新バージョンを狙って開発されています。6つの脆弱性（うち3つはパッチ未公開のゼロデイ）を組み合わせてデバイスを完全制御し、認証情報や暗号資産ウォレット情報を素早く盗み出したあと、痕跡を消して撤退する「ヒット・アンド・ラン」型の手口が特徴です。

利用者の広がりも見逃せません。ウクライナを発端としたロシア関連グループによる使用にとどまらず、サウジアラビア、トルコ、マレーシアなど複数の地域を標的としたキャンペーンへの転用が確認されており、Coruna と同様に「二次流通」が進んでいると GTIG は見ています。