だーつー

【iPhoneのアプリが、他のアプリの中身を読める】 今、あなたのiPhoneにApp Store以外から入れたアプリがありますか？ あるかどうかが、今の所、自分が当てはまるかの決め手です ある人は、そのアプリが悪意のある物だった時、他のアプリの中身を読まれるおそれがあります 無い人も、最新のiOSでまだ直っていない話なので、読んでおいてください 攻撃が起きた、という話ではありません 他のアプリの中身を読める方法が、11月9日に公開された段階です 攻撃や被害の報告は、私が確認した範囲ではありません（11月11日時点） 11月10日にBinance（仮想通貨の取引所）が警告を出して、320万回以上表示されてます まぁ、取引所の名前で回ってくると、仮想通貨の人だけの事に見えますよね でも、読まれるおそれがあるのは、ウォレット（仮想通貨を保管するアプリ）に限りません 私のiPhoneにもウォレットのアプリが3つ入っているので、調べました 何が読まれるのか、誰が当てはまるか、最新のiOSで直ったのか、今やる事、の順に書きます 公開したのは海外の研究者で、iPhoneのサンドボックスを抜ける方法です（名前は worse_query） サンドボックスは、アプリが他のアプリのデータに触れないようにしている、iPhoneの仕組みです 研究者本人も、開発者向けの見本で、これだけでは役に立たないし、脱獄（iPhoneの制限を外す改造）とも関係ない、と説明してます ただ、この方法を組み込んだファイル管理アプリなどが、もう公開されてます 悪用が目的の物ではありませんが、同じ方法は誰でも使えます ▼読まれるおそれがある物 研究者の説明では、届くのは、他のアプリがiPhoneの中に保存しているデータです 読むだけでなく、書き換える事もできます（仮想通貨のセキュリティ会社 SlowMist の警告） Ostorlab（モバイルアプリのセキュリティ会社）は、ログイン状態の情報や、アプリの中の書類やデータを挙げてます ログイン状態の情報は、写されると、パスワードを知られなくても、そのアカウントに入られる事があります 仮想通貨を持っていない人のアプリも入ります 仮想通貨が目立つのは、警告を出したのが、BinanceとSlowMistだったからです それと、シードフレーズ（ウォレットを復元する言葉）は、読まれたら資産を動かされますし、パスワードのように後から変える事ができません ただ、SlowMistは、この欠陥だけで資産が盗まれる訳ではない、とも書いてます 危ないのは、ウォレットがシードフレーズなどを暗号化せずにiPhoneの中に置いている場合、という説明です 自分のウォレットがどう保存しているかは、使う側からは分かりません キーチェーン（パスワードなどを別に守って保存する、iPhoneの仕組み）の中身は読めない、という解説もあります ▼誰が当てはまるか 研究者が対象に挙げているのは、iOS 26.0〜26.7.2 と iOS 27.2 です 26.7.2 と 27.2 は公開した時点の最新で、その後に出たバージョンの事は、次の章に書きます iOS 18 以前は対象に挙がっていませんが、安全だという意味ではありません ・App Store以外から入れたアプリがある人 条件に当てはまるおそれがあります App Storeを通さずに、専用のツールや配布サイトから入れたアプリの事です（サイドロードと呼ばれます） そのアプリが安全かどうかは、使う側からは見分けにくいです ・App Storeのアプリしか入れていない人 今の所、危ないと示す報告は見当たりません ただ、Appleの審査でこの方法を止められるのかは、関係者の誰も明言していません（The Hacker News） 仮想通貨を持っているかどうかは、この分かれ目には入りません ▼最新のiOSで直ったのか iOS 27 の最新の 27.2.1 でも直っていない、と公開した本人が書いてます（11月10日の夜） 研究者のその投稿は、iOS 26 の最新の 26.7.3 には触れていません Appleは11月10日に iOS 27.2.1 と 26.7.3 を出しましたが、更新の説明に、この件だと分かる記載はありません 直っていない前提で動くのが安全です 27.2.1 にすれば止まる、という話も、海外の仮想通貨メディアが伝えてました 元の投稿をしたセキュリティ会社の人が、同じ日の夜に、そこは誤りだったと訂正してます 元の投稿は約3.9万回、訂正は約1,700回の表示です（11月11日の午後2時の時点） ▼今やる事 ① App Store以外から入れたアプリは、消すか、出所を確かめる Binanceは出所の信頼できないアプリを消すよう、SlowMistは出所の分からないアプリを入れないよう呼びかけてます 入れた覚えが無い人も、「設定」→「一般」→「VPNとデバイス管理」を開いて、覚えの無い開発元の名前が無いかは見てください 見つけたら、その開発元のアプリを消します（ここに出ない入れ方もあります） 会社や学校から渡されたiPhoneは、消す前に管理者に聞いてください ② iOSとアプリを最新にしておく 今の最新にしても、この件は直っていないと見ておいてください それでも、他の欠陥の修正は入ってます この件の修正が出たら、すぐ入れてください ③ App Store以外のアプリを入れていたiPhoneで、ウォレットを使っていた人は、作り直しを考える BinanceもSlowMistも、怪しいアプリを入れた事が無い端末で、新しく作ったウォレットに資産を移す事を挙げてます Binanceは、取引所などのログインを全部いったん切る事も挙げてます 私の場合は、App Store以外から入れたアプリは無いので、ウォレットは作り直していません iOSは 26 の最新（26.7.3）にしてあります ただ、26.7.3 で直ったという情報は、見つけられていません ▼来そうな質問に先に答えておきます 「リンクを押しただけで読まれる？」 → 公開されているのは、アプリとして入れて動かす形です リンクを開いただけで使えるとは、研究者の説明にも、BinanceやSlowMistの警告にも書かれていません ただ、サンドボックスを抜ける欠陥は、サイトを開くだけで入り込む別の欠陥と組み合わせて使われる事があります 今回その報告は見当たりませんが、iOSの更新は続けてください 「Binanceが書いた 26.7.1、27.0.1、27.2 以外なら大丈夫？」 → 大丈夫とは言えません その3つは、この方法を組み込んだアプリの1つが、動作を確かめたバージョンと同じ並びです ▼まとめ ・11月9日に、iPhoneで他のアプリのデータを読める方法が公開された ・攻撃や被害の報告は、私が確認した範囲では無い（11月11日時点） ・仮想通貨を持っていない人にも関わる（決め手は、App Store以外から入れたアプリがあるか） ・最新の iOS 27.2.1 でも直っていない、と公開した本人が書いている ・やる事は、App Store以外のアプリを見直す、iOSとアプリを最新にしておく App Store以外から入れたアプリが無いかだけ、今日のうちに見ておいてください 皆様ご安全に