改ざんされたサイトを訪れるだけで、iPhoneやAndroidに攻撃が届く。ロシアの情報機関系とされるAPT29の新たな作戦を、フランスのSekoiaが報告しました。ところが使われた脆弱性は、どれもメーカーが作戦の前に直していたものでした。国家による高度な攻撃を止める鍵は、持ち主が更新するかどうかにあります。
フランスのセキュリティ企業Sekoiaは2026年11月4日、ロシア対外情報庁（SVR）によるとされるAPT29が、iPhoneとAndroidを狙う水飲み場攻撃を行ったとの調査を公表した。ウクライナや米国などの正規サイトの改ざん、米国独立250周年事業「America250」などを装う偽サイト、ウクライナの解析ツールPlerdyの改ざん（8月27日〜9月3日）の3経路で、閲覧した端末に修正済みの脆弱性を突く攻撃を送り込む。攻撃コードはCookieやWi-Fiのパスワード、メッセージなどを盗むつくりだった。
帰属の確度は「中〜高」で、確認された攻撃チェーンは、必要な修正を適用した端末には効かないとしている。
From: 
Poisoned Source: APT29 watering holes target mobile devices with n-day exploits（Sekoia）
【編集部解説】
この攻撃は「ゼロクリック」と報じられています。改ざんされたサイトを訪れると、それ以上リンクを押したりファイルを開いたりしなくても、攻撃が始まるからです。
ただし、今回の作戦で使われたのはゼロデイ（修正が出る前に悪用される脆弱性）ではありません。中には過去にゼロデイとして悪用されたものもありますが、今回はいずれも修正の公開後に使われました。Sekoiaが回収した3本の攻撃チェーンは、いずれもメーカーが作戦開始より前に修正を出していた脆弱性で組まれており、最新の状態に更新した端末には効かないと、報告自身が明記しています。読者がとれる対策ははっきりしていて、OSとブラウザを更新することです。
閲覧を入口にする3つの経路
1つ目は、正規サイトの改ざんです。ウクライナのガス生産会社のサイトのテンプレートに、外部のスクリプトを読み込むコードが差し込まれていました。Sekoiaの図によると、改ざんされたサイトはウクライナ、米国、ブルガリア、チェコ、オーストラリアにまたがり、政府・防衛、産業、航空宇宙、NGO、医療、政党と業種もさまざまです。
2つ目は、本物のサイトをそっくり中継する偽サイトです。米国独立250周年の公式事業「America250」と、ロンドンの高級ホテル「Raffles London at The OWO」が装われました。このホテルは英国防省や首相官邸に近い場所にあり、Sekoiaは政府関係者を狙った可能性を指摘しています。
3つ目が最も規模の大きいもので、ウクライナの解析ツール「Plerdy」のスクリプトが、8月27日から9月3日までの1週間改ざんされていました。このツールを読み込んでいた数千のサイト、その大半はウクライナのサイトが、一度に攻撃の入口になりました。軍や兵器の関連サイトも含まれていたといいます。
サイトの運営者から見れば、自分のサーバーに何の異常がなくても、埋め込んだ他社のタグが改ざんされれば、訪問者を危険にさらしうるということです。解析や広告のタグを多く使う日本のサイトにとっても、他人事ではありません。
盗まれるものは、ログインの「鍵」
Android向けのチェーンは、Chromeのバージョン139から145（143を除く）を狙い、ChromeのCookie、保存されたログイン情報、閲覧履歴、保存済みのWi-Fiの設定を盗みます。Chromeの脆弱性に加えて、Qualcomm製GPU「Adreno」のドライバの脆弱性を突いてブラウザの隔離を抜けていました。
iOS向けの1本は、DarkSwordと呼ばれる攻撃キットを使い、SMSとiMessage、メールの索引、WhatsAppとTelegramのデータ、キーチェーン、連絡先、通話履歴、写真、iCloud Driveまで、端末の広い範囲のデータを集めます。
中心にあるのはCookieです。ログイン済みの状態を保つ認証用のCookieが有効なうちに盗まれると、パスワードや多要素認証を入れ直さずにWebメールなどへ入られるおそれがあります。Sekoiaも、認証済みのセッションを再利用してWebメールなどに入れることを、この攻撃の狙いとして挙げています。
商用スパイウェアの部品が、国家の手に渡る
Sekoiaは、DarkSwordを商用監視ベンダー（政府などに監視ツールを売る企業）が開発したものとみています。Google TAGは2024年、APT29との関連が中程度の確度で疑われるモンゴル政府サイトへの水飲み場攻撃で、NSO GroupやIntellexaのような企業が使ったものと同一か、非常によく似た攻撃コードが使われていたと報告していました。
Cookieを盗むiOS向けのチェーンでは、配信側が対象をiOS 16.7と16.7.10に絞っている一方、Sekoiaの分析ではコード自体は16.0から17.4までを想定したつくりでした。Sekoiaはこうした食い違いを、攻撃キットが第三者から持ち込まれたという見方を支えるものとしています。
報告は、商用監視ベンダーの攻撃キットが国家の攻撃者のあいだで広まり、使い回されることは今後さらに増えると見ています。パッケージ化された攻撃チェーンが、高度なモバイル攻撃のコストと技術的な敷居を下げるからです。ゼロデイを自前で持たなくても、更新が遅れた端末を狙えば成果を見込める、という計算が働いていると読めます。
端末を調べるスクリプトにも工夫がありました。2.3MBのファイルの約98%は、使われないAngularJSのコードで埋められていました。Sekoiaは、大規模言語モデルによる自動解析を妨げる目的か、正規のライブラリに見せかける目的と推測しています。図によれば、このスクリプトは394項目の情報を集めていますが、攻撃の配信判断にはほとんど使われておらず、目的はまだ見えていません。
更新できない端末をどうするか
iPhoneは「設定」から、AndroidはChromeをGoogle Playで、OSのセキュリティアップデートは端末メーカーの案内に従って、それぞれ最新にしておくことが基本です。
気をつけたいのは、大きなバージョンアップの対象から外れた古い機種です。iOS 16までしか対応しないiPhone 8やiPhone Xにも、AppleはiOS 16.7.8などでセキュリティ修正を出しており、今回のiOS 16向けチェーンが使う脆弱性の一つもそこで直っています。最新のiOSに上げられなくても、その機種向けに出ている修正を当てておくことが欠かせません。そのうえで、修正が届く期間には限りがあるので、仕事のメールやクラウドにログインする端末は、早めに新しい機種へ移すことを考えておきたいところです。
Androidでは、GPUドライバの修正がChromeの更新とは別に、端末メーカーのセキュリティパッチで届きます。設定画面で「セキュリティパッチレベル」の日付を確かめる習慣が、こうした攻撃への備えになります。
感染した台数は公表されていません。日本が標的に挙がっているわけでもありません。それでも、業界団体や関心のあるイベントのサイトを開くという、ごく普通の行動が入口になった事例です。
今回の調査は、SekoiaとウクライナのCERT-UA、Google TAGなどの協力で明らかになりました。修正はすでにあり、防御の側の連携も機能しています。最後の一歩である更新を、端末の持ち主が確実に踏むこと。それが、今回確認された種類の攻撃への基本の備えです。更新は、すでに盗まれたセッションまでは無効にしません。心配な場合は、安全な端末から各サービスのアカウント管理画面を開き、見覚えのないセッションやほかの端末のログインを終了させます。
【関連記事】
【解説】海外サイバー事案20件、修正が届かずGitLab・Synologyで悪用｜DHS・Polymarketも
【解説】欧州スーパーの冷凍設備に第2波、ウクライナとロシアの警報アプリも乗っ取り｜Oracle EBSに攻撃の試行
【編集部後記】
Android向けの攻撃コードには、端末の機種を確かめる処理がありました。Sekoiaによると、サムスンのGalaxy S25 Ultra（型番SM-S938B）を見つけると、そこで攻撃をやめるつくりになっていました。
なぜこの1機種だけを避けるのか、報告は理由を明らかにしていません。どちらにしても、攻撃者は標的の端末を機種単位で見分けています。持ち主の側も、自分の端末がいつまで修正を受け取れるのかを、機種単位で知っておきたいところです。
【用語解説】
APT29
ロシア系の侵入グループ。Midnight Blizzard、Cozy Bear、The Dukesとも呼ばれ、ロシア対外情報庁（SVR）によるものと広く見られている。
水飲み場攻撃
標的がよく訪れるWebサイトを改ざんし、閲覧した人の端末に攻撃を仕掛ける手口。
ゼロデイ
修正が出る前に悪用される脆弱性。修正の公開後に、その脆弱性を突く攻撃は「n-day」と呼ばれる。
ゼロクリック
リンクを押す、ファイルを開くといった利用者の操作なしに攻撃が成立すること。
Cookie
Webサイトがブラウザに保存する小さなデータ。ログイン済みの状態を保つ認証用のものがある。
商用監視ベンダー
政府機関などに監視用のソフトウェアや攻撃手段を販売する企業。
【参考リンク】
Sekoia（外部）
フランスのサイバーセキュリティ企業。SOCプラットフォームと脅威インテリジェンスを提供し、今回のAPT29の攻撃を調べて報告した。
About the security content of iOS 16.7.8 and iPadOS 16.7.8（Apple）（外部）
iOS 16.7.8で修正された脆弱性の一覧。今回のiOS 16向けチェーンが使うCVE-2024-27834も含まれている。
【参考記事】
Russian state-linked hackers target iPhone, Android devices in zero-click espionage campaign（The Record）（外部）
Sekoiaの報告をもとに、APT29によるとされるiPhoneとAndroidへの攻撃の手口と、情報収集という狙いを伝える記事。
Hackers use n-day exploits in zero-click attacks on iOS, Android devices（BleepingComputer）（外部）
攻撃がゼロデイではなく、修正済みの既知の脆弱性で組まれていた点を中心に、iOSとAndroidの攻撃チェーンの中身を伝える記事。
State-backed attackers and commercial surveillance vendors repeatedly use the same exploits（Google）（外部）
2024年、モンゴル政府のサイトを使った水飲み場攻撃で、商用監視ベンダーと同一か酷似した攻撃コードが使われたとするGoogleの報告。
