広告をクリックしていなくても、未更新のiPhoneが広告の読み込みをきっかけに感染した事例が報告されています。
ただし、広告を見た人全員が感染するわけではありません。
攻撃用のコンテンツが読み込まれ、端末に悪用できる脆弱性が残っていることなどが条件です。
まず「設定」→「一般」→「ソフトウェアアップデート」で、現在のiOSと利用できる更新を確認してください。
不審な取引がある場合は、更新だけで対応を終えず、取引所などの公式窓口への連絡と記録の保存を優先します。
iVerifyとReport URIは、それぞれ2026年10月21日、22日に調査を公開しました。
直前の約1カ月に追跡したのは、iPhone向け攻撃ツール「Coruna」と「DarkSword」を広告やWebサイト経由で届ける活動です。
机上の実証ではなく、実際の感染を含む調査として発表されています。
iVerifyは、顧客企業の従業員がInstagramのフィードをスクロールしていた際、悪意ある広告を通じてDarkSwordのP7亜種に感染した事例を記載しています。
アプリ内の広告にも注意が必要だと分かりますが、報告された事例をすべてのSNSや広告に一般化することはできません。
一方、Report URIが「DeadTag」と名付けた活動では、使われなくなった解析・広告サービスの期限切れドメインを攻撃者が再取得。
正規サイトに残っていた外部コードから、攻撃者のコンテンツが読み込まれる状態を悪用していました。
サイト本体へ侵入せずに成立する経路であり、同じ調査で確認された通販サイトの直接改ざんとは分ける必要があります。
「関連偽サイト1,500件超」は、SlowMistのMistEyeによるDarkSword関連サイトの検出についての発表です。
公式X投稿の検索結果では数字と対象を確認できましたが、本調査では投稿全文を取得できていません。
この数を感染端末数や盗難件数として扱ったり、DeadTagのサイト群と同一視したりする根拠はありません。
また、Citizen Labが10月15日に公開した「AdFection」は、広告配信を利用する別の監視攻撃の調査です。
2024～2025年にAl Jazeeraの少なくとも45台が標的になったとし、Windows端末から回収したCandiruのスパイウェアも分析しています。
この台数を今回のiPhone攻撃の被害規模へ加えることはできません。
見出しの「正規サイト248件」は、今回取得できた一次資料本文では同じ集計を確認できなかったため、本記事では確定値に採用しません。
国内被害件数や2026年10月26日当日の稼働状況も、確認できた資料からは断定できません。
今回の報告で確認できるのは、悪意ある広告やページのコードが読み込まれ、iOSの脆弱性を突く処理が実行される経路です。
利用者が広告をタップしたり、偽アプリをインストールしたりすることを、必ずしも必要としません。
ただし、「何もしていなくても突然感染する」という意味ではありません。
少なくとも攻撃を配信するWebページや広告へ接触し、その端末に対応した攻撃が読み込まれる必要があります。
正規サイトを利用していても、外部サービスのコードが悪用されていれば入口になり得ます。
このように閲覧を入口とする手口は、ドライブバイ攻撃として整理できます。
iVerifyは、ページ訪問などは必要でも広告への追加クリックは不要という性質を「half-click」と呼んでいます。
「ゼロクリック」という見出しだけで、メッセージを受信しただけで成立する攻撃と同じ条件だと考えないようにしましょう。
偽サイトも、見た目だけでは分類できません。
入力フォームでパスワードを盗むフィッシングもあれば、サイトを開いた段階でブラウザを攻撃するものもあります。
今回のReport URIの解析では、偽の予測市場ページが後者として使われていました。
判断の軸は、機種名や購入時期だけでなく、現在インストールされているiOSです。
以下のバージョン範囲は、特定の調査で解析された攻撃の対応範囲であり、その範囲の全端末が感染したことを意味しません。
GTIGのDarkSword初期解析は6件の脆弱性を挙げています。
CVE-2025-31277はiOS 18.6、CVE-2025-43510とCVE-2025-43520は18.7.2／26.1、CVE-2025-43529とCVE-2025-14174は18.7.3／26.2で修正。
CVE-2026-20700は26.3で修正されたと整理されています。Appleも26.3の公開日を2026年2月11日とし、同CVEへの対応を掲載しています。
Corunaは別の攻撃ツールで、複数世代の脆弱性を組み合わせます。
例えばCVE-2023-32434やCVE-2024-23225などを含み、GTIGの表ではそれぞれ異なる修正版が示されています。
DarkSwordの6件と混ぜて「共通の修正版」を作ることはできません。
なお、10月の亜種すべてについて、公開されたOS範囲と全CVEの対応を確認できたわけではありません。
初期報告の範囲外だから安全と判断せず、現在提供される更新を適用するのが適切です。
暗号資産を持っていなくても、iOSの更新は必要です。
10月の解析では、攻撃後にキーチェーン内のパスワードや秘密情報、ウォレット関連情報、端末・アカウント情報を盗む機能が確認されています。
初期のDarkSword解析で調べられたGHOSTBLADEにも、メッセージ、連絡先、位置履歴、写真関連データなどを収集する処理がありました。
ただし、すべての亜種が同じ情報を盗むとは限りません。
ここで確認できるのは、解析された不正プログラムの機能や観測された攻撃です。
「閲覧した人の暗号資産が必ず送金される」「全利用者の写真が流出した」という結論にはなりません。
取引所などの名前が標的一覧にあっても、その事業者のサーバーが侵害されたという意味ではない点にも注意が必要です。
Appleの公式手順は、バックアップ後、電源とWi-Fiに接続し、「設定」→「一般」→「ソフトウェアアップデート」から更新する流れです。
詳しくは「iPhoneやiPadをアップデートする」を確認してください。
Appleは既報のWeb攻撃に対し、ソフトウェアを更新した端末は保護されると説明しています。
ただし、これは当該攻撃への対策の説明です。更新により、すでに盗まれた情報や送金を取り消せるわけではありません。
Web上の「感染しました」という表示を、端末の診断結果と考えないでください。
案内されたアプリや構成プロファイルを入れず、取引所へのアクセスには自分で確認した公式アプリやURLを使います。
広告ブロックは接触機会を減らす補助策になり得ますが、サイト内の別のコード経由もあるため、それだけで解決するとはいえません。
履歴削除も、iOSの脆弱性を修正する方法ではありません。
高額の暗号資産を管理する人などは、ロックダウンモードも検討できます。
iOS 16以降で利用できる一方、Web表示や一部機能が制限されます。
更新の代わりとして使い続けるのではなく、制約を確認したうえで追加の防御として判断してください。
追加の操作をやめてページを閉じ、閲覧日時、分かる範囲のURL、当時のiOSを記録してください。
危険なページを証拠のために再度開く必要はありません。そのうえで更新を確認します。
発熱や電池消費だけで感染を判断せず、不安が続く場合はAppleサポートへ相談しましょう。
問題のページを経由せず、公式アプリや公式サイトからパスワード変更、ログイン状況、登録情報を確認します。
端末の侵害も疑われる場合は、別の更新済み端末から相談・操作する方がよいでしょう。
Apple Accountについては、Appleの不正利用時の手順が案内されています。身に覚えのないデバイスや情報変更も確認してください。
ウォレットのシードフレーズや秘密鍵を入力した場合は、パスワード変更だけで済むと考えず、正規の提供元へ相談します。
導入元、名称、許可した内容を記録し、Appleの構成プロファイル確認手順に沿って確認します。
勤務先や学校が管理する設定は、削除前に管理者へ連絡してください。
削除で関連データも消えることがあります。
取引日時、金額、取引ID、送付先アドレス、通知や相手とのやり取りを保存し、利用中の取引所などの公式窓口へ速やかに連絡してください。
あわせて警察のサイバー事案相談窓口を利用できます。
確認前の一律の初期化や、慌てた資金移動は勧めません。
証拠や資産管理への影響を含め、状況に応じた対応が必要です。
「回収を代行する」と接触してくる第三者にも、シードフレーズ、秘密鍵、パスワードを渡さないでください。
漏えいした情報別に次の対応を整理したい場合は、個人情報漏えい対処ガイドも利用できます。
本記事では今回のiPhone攻撃の条件に絞り、漏えい後の一般的な対処は同ガイドで補います。
最初に確認するのは、広告をクリックしたかどうかだけでなく、iOSの更新状況です。
その後、認証情報の入力、アプリ導入、不審な取引の有無で対応を分けてください。
閲覧した事実だけで感染を決めつけず、被害の兆候があれば記録を残して公式窓口へつなぐことが、次の判断につながります。
.png){kind=logo}
