iCloudや写真を狙うフィッシングの見分け方

それは何か

iCloudフィッシングとは、Appleからのメッセージを装った偽のテキスト、メール、ポップアップ、時には電話です。狙いはいつも同じで、Apple Accountのパスワード、二要素認証コード、あるいは入力内容を静かに盗み取る偽のサインインページをタップさせることです。ほとんどのケースに共通する3つの特徴があります。送信元がAppleと実際には一致しないこと、表示されているテキストとは裏腹にリンクの本当の行き先がapple.comやicloud.comではないこと、そして「今すぐ確認しないとアクセスできなくなります」といった緊急性を煽り、立ち止まって確認する時間を与えないことです。Appleが絶対に求めないことは明確です。リンク経由のサインイン、二要素認証コードの読み上げ、自分が開始していない確認画面での「許可」タップ、セキュリティ機能の無効化——これらをAppleが求めることはありません。フィッシングはメールに限りません。ポップアップ、偽のダウンロード、Appleサポートを装った電話も同様に出回っており、同じ警戒サインがどの手口にも当てはまります。

実際の仕組み

繰り返し見られる典型的な手口があります。iCloudの容量が不足している、またはアカウントが危険にさらされていると主張するテキストが届き、「解決する」ためのリンクが添えられていますが、実際にはAppleとは無関係なランダムなドメインに繋がっています。リンクをタップすると、本物のApple サインイン画面そっくりに作られたページに到着します。そこにパスワードを入力した時点で、もう手遅れです。知っておくと役立つ事実があります。iCloud+ は自動更新され、Appleは更新案内のメールやテキストを送りません。したがって、容量の期限切れを訴えてすぐの対応を求めるメッセージは、それだけで詐欺のパターンだと言えます。

パスワードが盗まれたからといって、アカウントが即座に乗っ取られるわけではありません。二要素認証があるからです。正しいパスワードを持っていても、新しいデバイスからのサインインには信頼できるデバイスでの確認や認証コードが必要です。だからこそ攻撃者は、パスワードを盗むだけでなく、被害者にその確認コードを口頭で伝えさせようとするのです。これはStolen Device Protectionと同じ考え方です。認証情報が1つだけでは不十分だからこそ、攻撃者が簡単には突破できない二段階目のチェックが用意されています。

プライバシーにとって重要な理由

盗まれたiCloudパスワードは技術的なハッキングではなく、だまして得たログイン情報にすぎません。そして、だまして得たログイン情報こそ、見知らぬ人が誰かの写真ライブラリを覗き見る最も一般的な方法です。この危険性は共有または家族のiCloudアカウントではさらに高まります。もっともらしい「アカウントに対応が必要です」というメッセージが届く経路が複数存在し、確認する前に誰かが反応してしまう可能性も複数あるためです。一方で、Apple Accountのパスワードで一切認証しないコンテンツには、そのパスワードを狙うフィッシングがどれほど巧妙でも届きません。とはいえ、これらは基本的な対策の代わりにはなりません。リンクをタップする前に確認すること、二要素認証を有効にしておくことなど、日常的なプライバシー習慣が今も大部分の役割を果たしています。

よくある質問

AppleはiCloudの容量についてテキストやメールを送ってきますか? iCloud+ は自動更新され、Appleは更新案内のメールやテキストを送りません。したがって、容量が不足している、または期限が近いとしてリンクのタップを求めるメッセージは、強い詐欺のサインです。メッセージ経由ではなく、設定から直接容量を確認してください。

リンクが本当にAppleのものかを確認する一番早い方法は? 表示されているテキストではなく、リンクの実際の行き先を確認してください。apple.comかicloud.comで終わっている必要があります。詐欺のリンクは似たようなドメインを使い、偽のサインインページでは本物のApple サインインでは決して表示されないCAPTCHAが出ることもあります。

すでにフィッシングリンクをタップしてしまったかもしれない場合は? 不審なリンクからではなく、信頼できるデバイスの設定からApple Accountのパスワードをすぐに変更してください。見覚えのないデバイスを削除し、信頼できる電話番号が変更されていないか確認しましょう。そして、そのメッセージをreportphishing@apple.comに転送してください。

Privaraによる対策

iCloudフィッシングの手が届かないところに写真、動画、書類、連絡先を置いておく、一番シンプルな方法は何でしょうか。iCloudにそもそも預けないことです。Privaraは、電卓と全く同じ見た目と動作をする、ひとつのAES-256暗号化ボールトの中に、あなたの写真・動画・書類・連絡先を隠します。ボールトが開くのはあなたのPINを入力したときだけで、アカウントは一切不要です。その裏にはフィッシングメッセージが狙えるApple IDパスワードが存在しません。狙うべきアカウントそのものがないからです。コンテンツは端末内にとどまり、デフォルトではサーバーに何もアップロードされません。たとえ攻撃者があなたのApple Accountのパスワードを手に入れたとしても、Privaraのボールトの中にあるものはそのまま、そこにとどまります。さらにFace IDやTouch IDを重ねて別の確認レイヤーを加えることもでき、不正侵入検知機能は間違ったPINを試した人の写真を撮影します。まず全体像を知りたい方は、iCloudを使わずに写真をバックアップする方法をご覧ください。そうでなければ、App StoreからPrivaraをダウンロードして、大切なものを盗まれたパスワードでは触れられないボールトに移してください。