この記事を読んでいるということは、すでに何かが気がかりになっているのでしょう。昼までに切れてしまうバッテリー。話した覚えのないことを知っているパートナー。夜のあいだ、ポケットの中で温かくなっていたスマートフォン。iPhone をスキャンして本当のことを教えてくれるアプリを探し、App Store で何十個も見つけたかもしれません。

そうしたアプリを売る側が説明したがらないことがあります。iPhone では、それらのアプリは、あなたが期待していることをできないのです。

iPhone のウイルス対策アプリがスパイウェアを見つけられない理由

iOS は、すべてのアプリをサンドボックスの中に入れています。アプリは自分のファイルしか見ることができません。別のアプリのデータを読むことも、スマートフォンで動いているプロセスの一覧を取得することも、システムファイルを調べることもできません。この設計は、そもそも iPhone が感染しにくい理由の一つであり、利用者にとって本当に良いことです。

しかし、これは諸刃の剣です。悪意のあるアプリが銀行アプリを読むのを防ぐその壁は、セキュリティアプリが悪意のあるアプリを見つけることも妨げます。iOS には「システム全体のスキャン」というものは存在しません。Apple がそれを許可していないからです。iPhone のウイルススキャナーとして宣伝されている App Store の製品は、せいぜい Wi-Fi の設定をチェックし、危険なウェブサイトについて警告し、iOS が古いと教えてくれる程度です。

このことは、まさにあなたが心配している脅威にとって最も重要です。Pegasus のような傭兵スパイウェアは、OS の深い部分にある欠陥を突きます。サンドボックスの中のアプリには観察できないレベルです。サンドボックスの中で動くツールは、戸棚に閉じ込められたまま泥棒を探しているようなものなのです。

では、スマートフォンからスキャンできないなら、実際に何ができるのでしょうか。

10 分で自分でできる 5 つのチェック

どれも決定的なものではありません。それでも、すべて行う価値があり、いくつかは実際の侵入を見つけています。

1. Apple の脅威通知が届いていないか確認する

Apple は、国家レベルのスパイウェアによる攻撃キャンペーンを監視し、標的にされたと判断した人に警告しています。2021 年以降、150 か国以上のユーザーに通知しており、2024 年 4 月のあるキャンペーンだけで 92 か国の人々に通知が届きました。

account.apple.com にサインインし、ページ上部に警告のバナーが表示されていないか確認してください。Apple は、Apple ID に登録されているアドレスにも通知のメールと iMessage を送ります。

一つ重要な注意点があります。こうした通知は恐ろしく、よく知られているため、詐欺の格好の隠れみのになっています。本物の Apple の脅威通知が、リンクのクリック、何かのインストール、ファイルを開くこと、パスワードの入力を求めることは決してありません。メッセージがそのどれかを求めてきたら、それは Apple からのものではありません。アドレスを自分で手入力して account.apple.com にサインインし、確認してください。

2. 構成プロファイルがないか確認する

構成プロファイルは、企業や学校が端末を管理するための、iOS の正規の機能です。同時に、脆弱性を突かずに iPhone へ継続的な監視を仕込める数少ない正規の方法の一つでもあります。そのため市販のストーカーウェアは、あなたのスマートフォンを手にしている人に、プロファイルをインストールさせることがあります。

「設定」→「一般」→「VPNとデバイス管理」と進みます。通常の個人用 iPhone では、この画面は空か、勤務先のものだとわかるプロファイルしかありません。見覚えのないものがあれば、削除する前に、それが何なのか説明がつくまで確認してください。

3. アプリが何にアクセスできるかを確認する

「設定」→「プライバシーとセキュリティ」と進み、「位置情報サービス」「マイク」「カメラ」「写真」「連絡先」を一つずつ確認します。ここで探すのはスパイウェアではありません。並外れた権限を持つ、ごく普通のアプリです。スマートフォンの監視で最も多いのは、特殊なマルウェアではないからです。家族向けの共有アプリ、写真のバックアップサービス、メモアプリなどを誰かがインストールし、こっそり自分のアカウントにつないでいる、というケースです。

ついでに、「設定」の一番上にある自分の名前をタップし、Apple ID にサインインしているデバイスの一覧を確認してください。見覚えのないデバイスがあるということは、誰かが iCloud バックアップを読めるということです。そこにはメッセージも含まれます。

4. 脱獄の痕跡を探す

iPhone に居座るスパイウェアの多くは、脱獄された端末を必要とします。知らないうちに脱獄されていた場合、インストールした覚えのない Cydia、Sileo、Zebra といった名前のアプリが見つかることがあります。スマートフォン内でこれらの名前を検索してください。あったとしても監視の証拠にはなりませんが、誰かがあなたの端末から Apple の保護を取り除いたという証拠にはなります。

5. バッテリーとデータ通信量を、自分の使い方と比べる

「設定」→「バッテリー」を開き、過去 10 日間を確認します。次に「設定」→「モバイル通信」を開き、アプリごとの合計に目を通します。探すのは、実際の使い方と合わないものです。一度も開いていないアプリがバッテリーの一覧の上位にある、あるいはバックグラウンドの通信がギガバイト単位になっている、といったことです。

これは 5 つの中で最も弱い手がかりとして扱ってください。劣化したバッテリー、iOS のアップデート、旅行の後の写真ライブラリの同期は、どれも同じパターンを生みます。説明のつかない消費は、詳しく調べるきっかけであって、判断の根拠ではありません。

これらのチェックでわからないこと

ここまでの作業はすべてサンドボックスの中で行われます。つまり、高度なものなら、そのすべてをすり抜けられるということです。ゼロクリック型のスパイウェアは、アイコンを残さず、権限も求めず、何もタップさせません。開いてもいないメッセージによってインストールされることがあり、一部の亜種は再起動すると消えてしまうため、現場を押さえるのはさらに難しくなります。

痕跡は存在します。ただ、iOS がアプリに見ることを許している場所にはないだけです。痕跡があるのは、クラッシュログ、どのプロセスがいつネットワークを使ったかを記録するデータベース、シャットダウンを記録する小さなシステムファイル、そして暗号化されたバックアップの中のメタデータです。それを読むにはサンドボックスの外に出る必要があり、現実的な方法は一つしかありません。

パソコンからの分析の仕組み

iPhone をケーブルでパソコンにつなぐと、スマートフォンは完全なバックアップを作成し、端末上のアプリには読むことが許されていない診断データも出力します。そのバックアップを、既知の侵害の痕跡（インジケーター）と照合して調べることができます。傭兵スパイウェアが通信することがわかっているドメイン、それが作るプロセス名、それが残す痕跡などです。

これは、こうした攻撃キャンペーンを実際に見つけている研究者たちが使っている方法です。Amnesty International の Security Lab は、まさにこれを行う Mobile Verification Toolkit というオープンソースのツールを公開しており、2021 年の Pegasus プロジェクトの調査の土台にもなりました。無料で、評価も高いツールですが、コマンドラインツールなので、Python パッケージのインストールやフォレンジックの出力の解釈に慣れていることが前提です。

正直に言えば、そこが難点です。方法は確かで、ツールも公開されていますが、不安を抱えた人と、実際に機能するフォレンジック分析との間には大きな隔たりがあります。その隔たりを埋めるために作られたのが Haris Shield です。同じ公開インジケーターと照らし合わせてパソコンから分析し、ターミナルを使わなくても読めるレポートをお届けします。現在のバージョンは、完全なバックアップは分析しません。ケーブル経由でクラッシュログとインストール済みのプロファイルを読み取り、sysdiagnose を読み込んだ場合はそれも分析します。詳しい一覧は仕組みのページをご覧ください。

何か見つかったら、削除する前にこれを読んでください

この記事で最も重要なセクションであり、ほとんどのガイドが飛ばしている部分です。

あなたを監視しているのが、パートナー、元パートナー、家族、雇用主など、身近な誰かだと疑っているなら、スパイウェアを削除することが最初の一手として正しいとは限りません。多くのストーカーウェア製品は、無効にされた瞬間にインストールした人に通知します。支配的な状況や虐待的な状況では、監視が止まった瞬間が、相手があなたに気づかれたと知る瞬間になります。そこから事態がエスカレートするのは、仮定の話ではなく、実際に記録されているリスクです。

DV 支援団体とセキュリティ企業が参加する Coalition Against Stalkerware（ストーカーウェア対策連合）は、この点を明言しています。ストーカーウェアを削除すると証拠も消えてしまい、警察に相談する場合には、その証拠が重要になるかもしれません。

より安全な手順は次のとおりです。

スマートフォンではまだ何もしないでください。誰にも問い詰めないでください。
相手が一度も触れたことのない端末から、まず助言を求めてください。DV 支援団体が、どの順番で進めるかを一緒に考えてくれます。
見つけたものを記録してください。フォレンジックレポートは、スクリーンショットよりも価値があります。
疑わしいスマートフォンではなく、別の端末からパスワードを変更し、2 ファクタ認証を有効にしてください。
削除するかどうかは、その後で決めてください。できれば支援を受けられる体制を整えてからにしてください。

そうした状況になく、ありふれた犯罪や見知らぬ攻撃者による侵入のように見える場合は、話はもっと単純です。iOS をアップデートし、見つけたものを削除し、Apple ID のパスワードを変更し、疑わしいバックアップは復元せずに初期化することを検討してください。

狙われにくくするために

標的にされていると考える本当の理由があるなら、ロックダウンモードをオンにしてください。 「設定」→「プライバシーとセキュリティ」にあり、こうしたエクスプロイトが利用するメッセージの添付ファイルの種類やウェブの機能を無効にします。Apple は、ロックダウンモードを有効にした端末に対する傭兵スパイウェアの攻撃が成功した例は把握していないと述べています。一部の機能は使えなくなりますが、それこそが狙いです。
iOS のアップデートは、配信されたその日にインストールしてください。 こうした攻撃キャンペーンの多くは、Apple がすでに修正した欠陥に依存しています。
自分以外の誰も知らないパスコードを使い、 Face ID や Touch ID に余分な登録が追加されていないか確認してください。
脱獄しないでください。 誰かに代わりにやらせることもしないでください。
Apple ID のデバイスは、数か月ごとに確認してください。

まとめ

iPhone のスパイウェアを、iPhone 上からスキャンすることはできません。それができるとうたうものはすべて、抜け出せないサンドボックスに縛られています。自分でできるのは、Apple の脅威通知、身に覚えのない構成プロファイル、過剰な権限を持つアプリ、脱獄の痕跡、使い方に合わない消費を確認することです。それ以上となると、本当の答えはパソコンからの分析しかありません。

そして、何かが見つかり、その背後に身近な誰かがいるかもしれないなら、何かに触れる前に助言を求めてください。スキャンは簡単な部分にすぎません。

出典

Apple、Apple の脅威通知と傭兵スパイウェアからの保護について：support.apple.com/en-us/102174
Amnesty International Security Lab、フォレンジック手法レポート：NSO Group の Pegasus を見つける方法：amnesty.org
Mobile Verification Toolkit：mvt.re
Coalition Against Stalkerware、被害を受けた方への情報：stopstalkerware.org/information-for-survivors

アプリを入れずに iPhone のスパイウェアを見つける方法