AIが偽のAppleサポートを装い、盗まれたiPhoneの持ち主からパスコードを聞き出す手口が確認されたと、海外のセキュリティ企業が報告しています。盗難対策のロックを外して転売につなげる狙いで、500を超えるドメインを使う大規模なフィッシング基盤として運用されているようです。
盗難iPhone狙いのフィッシングがサービス化
今回の手口の最大の特徴は、個人の思いつきによる犯行ではなく、盗んだApple製品のロック解除を請け負う「サービス」として仕組み化されている点です。海外のセキュリティ企業によると、同じ仕組みに関連するコードは2024年の初めごろから観測されており、盗まれたiPhoneのロック解除と転売を支える闇のプラットフォームへと発展したといいます。
確認されたドメインは506、関連する店舗ブランド名は168にのぼり、調査の時点では188のドメインが稼働していたとされます。技術に乏しい者でも詐欺に加われるほど、道具立てと自動化が整えられている点も見過ごせません。
Apple Accountを奪う誘導の流れ
盗まれたiPhoneの持ち主は、メールやSMS、電話を組み合わせた多段階の誘導によって、少しずつ情報を引き出されていきます。
持ち主の情報を使って接触
犯人はあらかじめ、持ち主の電話番号や氏名、端末の情報を自分たちのシステムに登録し、Appleを装って接触してきます。iPhoneの紛失モードでは連絡先を画面に表示できるため、そこから情報を得ている可能性もありますが、今回の調査で取得経路までは特定されていません。
AI音声は3言語に対応
連絡の手段はメールやSMS、メッセージアプリにとどまらず、AIによる音声通話まで用意されている点が特徴です。調査では、Appleサポートの担当者を装う音声が英語・スペイン語・ブラジルポルトガル語の3言語に対応し、1件あたり十数円ほどの低コストで自動的に発信されていたとされています。
パスコードと認証コードを収集
AIによる通話がまず狙うのは、確認を装って4桁または6桁のパスコードを、持ち主自身の口から言わせることです。その後はSMSで偽サイトへ誘導し、Apple Account（旧Apple ID）のパスワードや2ファクタ認証コードを入力させて盗み取ります。
これらがそろうと、持ち主はアカウントを乗っ取られ、iCloud上のデータなどにアクセスされるおそれがあります。
目的は盗難iPhoneのロック解除
犯人がここまでして手に入れたいのは、iPhoneの「アクティベーションロック」を解除する権限にほかなりません。アクティベーションロックはApple Accountと結びつき、盗難後に他人が勝手に使えないようにする、iPhoneの中核的な盗難対策です。
このロックはApple Accountの認証情報か、デバイスのパスコードで解除できるため、犯人はそれらをフィッシングで盗み取ろうとします。
日本のiPhoneユーザーへの影響は？
回収された200件のAI通話では約9割がブラジル向けで占められ、日本向けや日本語の音声は含まれていませんでした。ただし、これはあくまで回収できた通話記録の範囲であり、メールなどを含む活動全体で日本が標的にされていないとまでは断定できません。
海外では、パスコードを盗み見たうえでiPhoneを奪いApple Accountを乗っ取る被害も報告されており、手口が広がる前に仕組みを知っておく価値はありそうです。
iPhoneの防御は日頃の対策から
被害を防ぐうえでまず知っておきたいのは、Appleがパスワードやパスコード、2ファクタ認証コードを求めることはないという点です。Appleが「紛失したiPhoneが見つかった」と連絡してくることはありません。
Appleの公式の方針と詐欺の典型例を、次の表にまとめました。
| 確認点 | Apple公式の方針 | 詐欺の典型例 |
|---|---|---|
| 「端末が見つかった」という連絡 | Appleからは連絡しない | 「見つかった」と連絡する |
| パスワード・パスコード・2FAコード | 求めない | 確認を装って要求する |
| 受信したリンクからのサインイン | 求めない | 偽サイトを開かせる |
| セキュリティ機能 | 無効化を求めない | 「探す」などをオフにさせる |
| 電話やメール | 正規の連絡にも使われる場合がある | 手段だけでは判別できない |
表のとおり、電話やメールといった手段だけでは本物と偽物を見分けられません。求められた情報の中身で判断するのが安全といえます。
あわせて、日頃から見直しておきたい設定は次の通りです。
- 「盗難デバイスの保護」を有効にする
- 英数字の推測されにくいパスコードを設定し、公共の場でののぞき見を防ぐ
- 身に覚えのないApple Accountの連絡は、メールのリンクを開かず設定アプリや公式サイトで確認する
- iPhoneを紛失しても、「探す」やApple Accountから端末をすぐに削除しない
Appleをかたるフィッシング詐欺は手口を変えながら続いており、今回のようにAIを利用した例も確認されています。仕組みを知り、日頃の設定を整えておくことが、iPhoneを守る何よりの備えになりそうです。