「CryptoRom」と呼ばれる、ロマンス詐欺の一種の被害に遭うユーザーが増えており、セキュリティ会社がiOSに危ないアプリのインストールを可能にする2つのループホール（抜け穴）の存在を指摘しています。
CryptoRomという組織犯罪に注意
中国語で“巧みな詐欺”を意味する杀猪盘（shā zhū pán）は、時間をかけてターゲットとの信頼関係を結び、最後に金銭をだまし取る手法のことを指しますが、当初アジア圏だけでみられた被害は全世界に拡大しつつあるそうです。中でも「CryptoRom」と名付けられた組織犯罪キャンペーンに注意が必要とのことです。
CryptoRomアプリやWebサイトにアクセスしてしまうことで、貯蓄を失ってしまったという事例が多く報告されているそうです。詐欺師たちはソーシャル・エンジニアリング（人間の心理的な隙や、行動のミスにつけ込んで個人が持つ秘密情報を入手する方法）を駆使し、App Storeのセキュリティ審査を回避して、被害者に接近します。
TestFlightを悪用
ベータ版のアプリテストを行うための配布プラットフォームであるTestFlightを危ないアプリの拡散に使用する例が多くみられるそうです。TestFlightの招待メールにより、最大100人まで参加可能の小規模内部テストと、最大1万人にリーチできるパブリックベータテストを行うことができます。
前者の小規模なアプリの配布ではApp Storeのセキュリティ審査は不要となっていますが、公開されたWeリンクで共有されるTestFlightアプリは、App Storeの初期審査を受ける必要があります。
TestFlightはマルウェア作成者が悪用するにはあまりにも簡単な仕組みになっており、CryptoRomの作者によって広範囲に渡って悪用されているそうです。
Webクリップウィジェットで見せかけアプリを作成
iPhoneのホーム画面上にWebページをアプリのように配置することができる、Webクリップウィジェットを使った詐欺手法も多々確認されています。
Webクリップを提供するURLを送りつけられたユーザーの中には、作成されたWebクリップウィジェットを通常のアプリと勘違いしてしまう人もいるそうです。
詐欺アプリは本物のブランドであるかのように偽装している場合がほとんどで、詐欺のターゲットとなったユーザーは、正規の企業と取引していると思い込まされ金銭を騙し取られることが多いようです。
Source:Sophos via Ars Technica
Photo:Apple
(lexi)