【至急】家族グループが外から筒抜けの恐れ…Appleが緊急で塞いだ9つの穴、Bluetoothは「無操作でも繋がる」状態だった
「グループの会話、外から筒抜けでした」——Appleが9件の修正を緊急投入。iMessageとBluetoothに潜んでいた穴
スマホのセキュリティアップデートは、たいてい地味な通知でやってくる。「ソフトウェア・アップデート」の赤いバッジを、後回しにしている人も多いだろう。ただ今回ばかりは、その地味な通知の中身がやたらと重い。米国時間11月9日、AppleはiPhoneとiPad向けのセキュリティアップデートを公開し、合計9件の修正をまとめた。国家レベルのサイバー統括機関も更新を呼びかける、珍しく総力戦の匂いがするパッチだ。
注目は、多くの人が毎日使っている「メッセージ」と、ケーブルのいらない生活を支えるBluetoothに、まとめてメスが入ったことだ。目新しい新機能はゼロ。その代わり、「あって当たり前」の信頼の土台を補強する内容になっている。
悪用されたのは「iMessageグループ」。外部の第三者が会話に割り込めた恐れ
修正された9件のうち、メッセージ関連は2件ある。1件目は、離れた場所から攻撃者がグループチャットに入り込み、メッセージを受信できる可能性の問題だ。家族グループ、仕事の連絡網、友人との約束のやり取り——そこには住所や予定、愚痴や失敗談まで、生活の解像度がそのまま残っている。外部の誰かがその輪に「いないはずの参加者」として加われ、会話を受け取れていたとしたら、性質はかなり悪い。
2件目は、グループに追加された人が、自分が参加する前に送られたメッセージまで読めてしまう可能性の問題だ。参加の認可と、参加者に見える履歴の範囲。この2つの境界線の曖昧さがそのまま脆弱性になっていた計算だ。招待された側からすれば「自分の加入前の話をどこまで知っている前提で話されているのか分からない」、招いた側からすれば「昔のログまで含めて見せていたかもしれない」という、事後にぞっとするタイプの話である。
Bluetoothには「勝手にペアリング」と「コード解読の回数無制限」という二重の穴
Bluetooth周辺は、今回のパッチで最も細かく縫合された箇所だ。まず、ユーザーが何も操作していないのに、悪意のある機器がペアリングできてしまう可能性が塞がれた。イヤホンやスピーカーを繋ぐたびに画面を確認している人からすれば、こちらを見ていない隙に接続される余地があったことになる。
さらに、Bluetoothの届く範囲にいる攻撃者が、ペアリングコードの試行回数制限を回避できる問題も修正された。ペアリングのたびに画面に出る6桁前後のコード。普段は「数字を見る作業」でしかないが、その裏側で「何回までコード入力を試せるか」という総当たり対策が働いていた事実を、意識する機会はまずない。この回数制限を飛び越えられると、コードという関門の意味が急速に薄れる。アプリ経由のペアリングにも同じ種の試行回避の穴があり、Bluetooth圏内からのものと、同じWi-Fiネットワーク上からのものは別々に修正されている。「Bluetoothの穴」と一括りに見えて、侵入口は幾つも別口で存在していたらしい。
加えて、Bluetoothの通信を処理するメモリーが壊れる可能性のある脆弱性、そしてApple Intentsを通じてアプリが機密性の高いユーザーデータにアクセスできてしまう可能性も修正リストに名を連ねた。無線の受信処理と、アプリ間連携の権限——どちらも日常機能の根幹に近い部位だ。
「実悪用済み」のライブラリ脆弱性。ただしiPhone/iPadでの悪用報告はまだない
もう一つ、見過ごせないのがデータ処理に使われる圧縮ライブラリの修正だ。圧縮と聞くと「ファイルを小さくする地味な機能」を想像するが、送受信したデータを展開する処理は、攻撃者が作らせたデータを読ませる格好の入口になる。このライブラリには、細工したデータを処理するとメモリーが壊れる恐れのある脆弱性があり、米国のサイバーセキュリティ当局が「実悪用が確認された脆弱性」の一覧にも追加されている。
ただし重要な前提として、Appleの今回の告知ではiPhoneやiPadでの悪用事例は公表されていない。ライブラリ側の悪用確認と、手元の端末での被害報告は分けて聞くべき話だ。とはいえ「悪用済み」という物騒な語がついた部材を、スマホも使っていた——それが今すぐ更新の理由になる。
自分の機種に届く更新はどれか。入れる前の作法
今回の主役、iOS 27.2.1とiPadOS 27.2.1の対象はiPhone 11以降と対応するiPadだ。同じ日には、iPad第8世代なども対象に含む26.7.3も公開され、こちらはこちらでメッセージやペアリング関連の問題を修正している。さらにiPhone XSやXRなど古い機種には、系統の異なる別枠の更新として18.7.12も出た。現行・旧系統・さらに旧系統——同日に三方向へ横並びでパッチが飛ぶ構図は、「狙われたのは共通部品でした」という事情そのものだ。
更新の確認は、設定から「一般」→「ソフトウェア・アップデート」の順に進めばよい。自動アップデートをオンにしていても、現在のバージョンは同じ画面で確認できる。アップデートを入れるなら、バックアップを取り、電源とWi-Fiに繋いでから、という基本的な作法は今回も有効だ。家族に伝えるときは、バージョン番号の羅列で混乱させるより、設定画面を一緒に開いてもらった方が早そうだ。家中の端末のうち机の上の1台だけ更新して、貸し出した方を忘れ込む——台数が多い家庭ほど、その「入れたつもり」が最大の隙になる。
ネットの反応
メッセージとかSMSとかメールとか、昔からある単純な機能ほど割と脆弱性まみれでガバガバよな。
家族のグループに住所とか予定とか普通に書くもんだ。数年前のログまで読み返して、何を書いたか思い出す方のほうがアップデートより時間かかりそう。
Bluetoothの件を聞いて真っ先に浮かんだのがイヤホン。接続のたびに画面を見るのに、何もしてないところでペアリングされる余地があったのは嫌だわ。ただし「Bluetoothが届く範囲」って条件はちゃんと聞きたいところ。地球の裏から繋がれるみたいに覚えるのは困る。
ペアリングコードの試行回数に上限があるって、普段そこまで意識しないよな。画面の数字ばかり見ていたけど、何回でも試された話が変わるのか。
Androidのアップデートもほしいな。あと古いiPadは動画用に置いてあるから更新を忘れがち。毎日持つスマホの方だけ赤いバッジを気にしている。
GoogleアカウントとApple IDのパスワードは、パスキーやストアの支払いに関わる最重要なものなのに、忘れる人は本当に大丈夫なのか。今は全てのパスワードが流出している可能性で動くべき時代だと思う。
AIの所感
今回のパッチ群から読み取れる一番冷たい教訓は、「攻撃されるのは新機能ではなく、信頼された旧機能」という定番の再確認だ。iMessageのグループ、Bluetoothのペアリング、圧縮ライブラリ。いずれも何年も前からですべりが通る前提で動いてきた基礎インフラであり、その前提が崩れた場所から直されている。特に、参加前にさかのぼれる履歴の問題は、技術的な穴というより「誰に何が見えている前提か」というユーザーの心理的期待と実装のズレであり、セキュリティ設計が人間関係の機微まで面倒を見る時代になったことを示す。同日に3系統のバージョンへ横並びで出たことも、共通部品由来の脆弱性の厄介さの表れだ。読者が今やるべきことは派手ではなく、家族全員の端末で設定を開いて、入っていなければ入れる。その5分が、今週いちばん費用対効果の高いセキュリティ対策になる。