フランスの国家サイバーセキュリティ機関CERT-FRによると、Appleは9月上旬に顧客のデバイスが新たなスパイウェア攻撃の標的となったことを警告した。
これは2025年に入って4回目の警告で、過去には3月、4月29日、6月にも発生している。攻撃はmercenary spyware(傭兵スパイウェア)を使用し、ゼロデイ脆弱性を悪用した高度に洗練されたもので、ユーザーの操作を一切必要としない。標的となるのはジャーナリスト、弁護士、活動家、政治家、高級官僚、戦略的セクターの経営委員会メンバーなどである。先月AppleはCVE-2025-43300とWhatsAppのzero-click vulnerability（ゼロクリック脆弱性）CVE-2025-55177にパッチを当てる緊急アップデートをリリースしており、これらが今回の攻撃に関連している可能性がある。Appleは2021年以来、150カ国以上でこのような脅威通知を送信している。
From: 
Apple warns customers targeted in recent spyware attacks
【編集部解説】
今回のAppleによるスパイウェア攻撃警告は、単発の事案ではなく傭兵スパイウェア産業の拡大を示す重要な指標となっています。特に注目すべきは、イスラエルのParagon Solutions社によるGraphiteスパイウェアが今回の攻撃に関与している可能性です。同社は元イスラエル首相エフード・バラク氏が支援する企業で、2024年12月にフロリダの投資会社AE Industrial Partners社により5億ドル（目標達成時最大9億ドル）で買収されました。
今回使用されたゼロクリック攻撃は、従来のスパイウェアと比較して格段に高度な技術です。CVE-2025-55177のWhatsApp脆弱性は、リンクされたデバイス間の同期メッセージの認証不備を悪用し、攻撃者が被害者のデバイスに任意のURLからコンテンツを処理させることを可能にします。この攻撃手法により、ユーザーが何もクリックしなくても、マイクロフォン、カメラ、メッセージ、写真、履歴データへの完全なアクセスが実現されます。
Appleの脅威通知は2021年以来、実に150カ国以上で送信されており、その頻度は年々増加しています。2025年第1四半期に報告されたフィッシング攻撃は100万件以上にのぼり、モバイルや企業ユーザーへの大きな影響が懸念されています。特に、カナダのオンタリオ州警察がParagon Solutions社の顧客として強く疑われた事例などから、法執行機関による合法的監視との境界線が曖昧になっていることです。
一方で、この脅威の拡大は防御技術の革新も促進しています。Appleは最新のiOS 18.3.1でMessagesのCVE-2025-43200の脆弱性を修正し、今後のiPhone 17ではメモリ安全性を大幅に向上させるメモリ破損攻撃対策を実装予定です。これらの対策により、傭兵スパイウェアが共通して悪用するメモリ破損の脆弱性への対抗が強化されます。
米国政府は2023年に大統領令14093を発令し、リスクを伴う商用スパイウェアの政府利用を禁止しました。これによりNSO Groupのような企業は米政府調達の対象外となり、Paragonのような企業が「責任ある利用」をアピールする余地が生まれました。しかし、実際には民主主義国家におけるジャーナリストへの攻撃事例が続発しており、EUをはじめとする規制当局による監視体制の強化が急務となっています。
2025年下半期には、モバイル環境におけるクロスプラットフォーム可視性とエッジシステムセキュリティの重要性がさらに高まると予測されています。特にNFC技術を標的とした新たな攻撃手法や、AIを活用した社会工学攻撃の高度化により、包括的なモバイルセキュリティ戦略の構築が企業にとって不可欠となっています。
【用語解説】
mercenary spyware（傭兵スパイウェア）：政府機関や法執行機関に販売される商用スパイウェアで、国家レベルの監視活動に使用される高度な諜報ツール。
ゼロデイ脆弱性：開発者が修正パッチを提供する前に攻撃者によって発見・悪用されるセキュリティ欠陥で、防御が極めて困難。
ゼロクリック攻撃：ユーザーが何もクリックせず、操作を一切行わなくても実行される攻撃手法で、最高度に洗練されたスパイウェア技術。
Apple threat notification（Apple脅威通知）：Appleが特定のユーザーが高度なスパイウェア攻撃の標的になったことを検出した際に送信する公式警告システム。
CERT-FR：フランス国家サイバーセキュリティ機関ANSSIが運営する政府機関向けコンピューター緊急対応チームで、サイバーインシデントの予防・軽減を担当。
Graphite：イスラエルのParagon Solutions社が開発したiOS向けスパイウェアで、デバイスの完全制御とデータ抽出が可能な商用監視ツール。
Paragon Solutions：イスラエル創設のスパイウェア企業で、2024年12月に米国のAE Industrial Partners社により約5億ドルで買収された。
CVE-2025-43300：AppleのImageIOに存在する脆弱性で、WhatsApp側の不具合と組み合わされて悪用された可能性が指摘されている。
【参考リンク】
Apple Support – Apple脅威通知について（外部）
Apple公式の脅威通知システムの詳細説明と対処法、ロックダウンモードの使用方法を提供している公式サポートページ
CERT-FR – フランス国家サイバーセキュリティ機関（外部）
今回の警告を発表したフランス政府のサイバーセキュリティ対応チームの公式サイト
Access Now Digital Security Helpline（外部）
Apple脅威通知を受けた被害者向けの24時間緊急支援サービス、専門的セキュリティ支援を無料提供
【参考記事】
Graphite Caught: First Forensic Confirmation of Paragon’s iOS Mercenary Spyware Finds Journalists Targeted（外部）
カナダのCitizen Labによる詳細な技術分析。ParagonのGraphiteスパイウェアがイタリアのジャーナリストを標的にしていた証拠を初めて法科学的に確認した重要な報告書。
Apple’s latest iPhone security feature just made life more difficult for spyware makers（外部）
Appleが次期iPhone 17で実装予定のメモリ安全性向上技術について詳述。傭兵スパイウェアが悪用するメモリ破損攻撃への対抗策を技術的に解説。
EFF Statement on ICE Use of Paragon Solutions Malware（外部）
米国の電子フロンティア財団によるParagon社スパイウェアの米国政府機関での使用に関する声明。人権団体の視点からスパイウェアの危険性を指摘。
Paragon attacks highlight Europe’s growing spyware crisis（外部）
アムネスティ・インターナショナルによるヨーロッパでのスパイウェア危機に関する報告。Paragon社の攻撃事例を通じて欧州の監視状況を分析。
WhatsApp Patches Zero-Click Exploit Targeting iOS and Android（外部）
今回の攻撃で悪用されたWhatsAppのゼロクリック脆弱性CVE-2025-55177の技術的詳細と修正内容について詳述。200人未満が標的となった攻撃の全容を解説。
Israeli spyware maker Paragon bought by US private equity giant（外部）
TechCrunchによるParagon買収の詳細報道。初期支払い5億ドル、成長目標達成により最大9億ドルに達する可能性があることを報告。
US private equity firm AE to buy cyberattack co Paragon（外部）
イスラエルのGlobes紙による買収の詳細。初期支払い4.5億ドル、マイルストーン達成により追加4.5億ドルの支払い条件を詳述。
【編集部後記】
今回の記事を読んで、スパイウェア攻撃の標的が特定の職業に集中している点が印象的でした。ジャーナリストや活動家が狙われる理由は何でしょうか？また、iPhone 17で導入されるMemory Integrity Enforcement（MIE）は「消費者向けOSの歴史上最も重要なメモリ安全性向上」とAppleが謳う革新的技術ですが、攻撃者はこの新技術にどう対抗してくるのでしょうか？年間150カ国で発生する攻撃規模を考えると、傭兵スパイウェア産業の市場規模はどの程度なのか、また各国政府の関与度合いも気になるところです。読者の皆さんは日常的にどのようなセキュリティ対策を講じていますか？
