Pegasus についての記事の多くは、それが何なのかを教えてくれます。しかし、自分のスマートフォンに入っているかどうかを確かめる方法を教えてくれる記事はほとんどありません。この記事は後者の疑問についてのものです。都合の悪い部分も含めて説明します。
まずは率直な前提から始めましょう。Pegasus は、一般の人を広く狙う脅威ではありません。NSO Group が政府の顧客に販売しているもので、1 回の運用に多額の費用がかかり、特定の人物を狙って使われます。標的になるのは、たいていジャーナリスト、人権擁護活動家、弁護士、野党の政治家、外交官です。スマートフォンの動作が遅いから心配しているのであれば、圧倒的にありそうな説明は、単にスマートフォンの動作が遅いということです。
とはいえ、絶対数で見れば、標的にされる人は珍しくありません。Apple は 2021 年以降、150 か国以上のユーザーに脅威通知を送っており、2024 年 4 月のたった 1 回の通知で 92 か国の人々に届きました。仕事の内容から自分が標的になりうるのであれば、この疑問には気休めではなく、本当の答えが必要です。
スマートフォンを眺めるだけでは Pegasus を検出できない理由
Pegasus はゼロクリック型です。避け損ねた不審なリンクも、見つけるべきアプリのアイコンも、許可してしまった権限のダイアログもありません。iMessage などのメッセージアプリを通じて、一切の操作なしに送り込まれた例があります。いったん入り込むと、メッセージ、メール、通話、カメラ、マイク、位置情報にアクセスできます。
また、意図的に目立たないように作られています。メモリ上だけで動作する亜種もあり、その場合は再起動すると消え、証拠の大部分も一緒に消えてしまいます。自分の後始末としてログファイルを消去していた例も確認されています。
つまり、バッテリーの減りに注意する、見知らぬアプリを探す、ポップアップがないか確認する、といったよくあるアドバイスは、ここではほとんど役に立ちません。そうした症状は一般消費者向けのストーカーウェアのもので、それは予算も性質もまったく異なる脅威です。国家レベルのスパイウェアに対しては、症状がないことは何の判断材料にもなりません。
有効な答えは、ただ一種類しかありません。スマートフォンの外から、スマートフォンのデータをフォレンジック分析することです。
行う価値のある 3 つのチェック（この順番で）
1. Apple からすでに通知が来ていないか確認する
Apple は、個別に標的にされたと判断した人に通知しています。これは利用できるチェックの中で最も価値が高く、2 分で済み、無料です。
account.apple.com にサインインし、ページ上部に警告が表示されていないか確認してください。Apple はさらに、Apple ID に関連付けられたアドレスにメールと iMessage も送ります。
覚えておくべきことが 2 つあります。通知が届いたことは標的にされたことの強い証拠ですが、届いていないことは標的にされていないことの証拠にはなりません。Apple の検出が完全であるはずはないからです。また、こうした通知は不安を誘い、広く報道されているため、なりすましが非常に多くあります。本物の通知が、リンクのクリック、ソフトウェアのインストール、添付ファイルを開くこと、パスワードの入力を求めることは決してありません。
2. スマートフォン自身の記録を調べてもらう
痕跡は端末上の、アプリが届かない場所に残っています。
- どのプロセスがいつネットワークを使ったかを記録するデータベース
- 失敗したエクスプロイトの試みによるクラッシュログ
- シャットダウンを記録するシステムファイル。感染の前後の異常が残っていることがあります
- メッセージの添付ファイルのメタデータとキャッシュの痕跡
Amnesty International の Security Lab は、まさにこうした材料から Pegasus の感染の流れを再構成し、2021 年 7 月に Pegasus プロジェクトの一環として、手法とツールの両方を公開しました。そのオープンソースの Mobile Verification Toolkit（通称 MVT）は、iPhone のバックアップを、既知の攻撃キャンペーンに関連するドメイン、プロセス名、ファイルの痕跡といった侵害の痕跡（インジケーター）と照合します。
ターミナルに慣れているなら、MVT が基準となる実装であり、無料です。Python でインストールし、iPhone の暗号化バックアップを作成し、最新のインジケーターファイルをダウンロードして、分析を実行します。出力は一連の JSON ファイルで、それを自分で解釈する必要があります。
この一文を読んで気が重くなったなら、それこそが本当の壁です。手法は公開されていて確かなものですが、不安を抱えたジャーナリストと完成したフォレンジック分析との間にある現実的な距離が、ほとんどの人を立ち止まらせています。Haris Shield はその距離を縮めるために作られましたが、知っておくべき限界があります。Haris Shield はクラッシュログを同じ公開インジケーターと照合し、結果を JSON ではなくレポートとして示します。現在のバージョンは暗号化バックアップを分析しないため、単体では、MVT を完全に実行した場合より読み取れる範囲が狭くなります。sysdiagnose を読み込むと、ネットワーク使用状況とプロセス実行のデータベースが加わります。自分が Pegasus の標的だと考える具体的な理由があるなら、暗号化バックアップに対して MVT を実行するか、Amnesty の Security Lab または Access Now の Digital Security Helpline に助けを求めてください。
3. 「クリーン」という結果の意味を理解する
クリーンという分析結果は、調べたデータの中に既知のインジケーターが見つからなかったという意味です。スマートフォンが一度も侵害されたことがないという意味ではありません。メモリ上だけで動作する亜種が存在していて、その後スマートフォンが再起動されていれば、見つけるべきものは何も残っていないかもしれません。あなたを狙った攻撃キャンペーンが、まだどの研究者もインジケーターを公開していないツールを使っていたなら、照合する対象がありません。
iPhone がクリーンだと保証できると言う人は、誇張しています。フォレンジックは証拠を見つけるものであり、存在しないことを証明するものではありません。
何か見つかった場合にすべきこと
すぐに再起動や初期化をしないでください。 スマートフォンを消去したくなるのが自然な反応です。しかし、その発見を、弁護士、報道機関、裁判所、あるいは攻撃キャンペーンを追跡する研究者に役立ててもらいたいなら、端末とそのデータは証拠であり、初期化すればそれが失われます。
スマートフォンだけでなく、アカウントも侵害されていると考えてください。 信頼できる別の端末から、Apple ID のパスワードと重要なパスワードを変更してください。Apple ID にサインインしているデバイスを確認し、見覚えのないものを削除してください。
専門家の助けを借りてください。 危険にさらされている人のためにこうした支援を行っている団体がいくつかあり、多くは無料です。Access Now は市民社会向けに Digital Security Helpline を運営しており、Amnesty の Security Lab は人権擁護活動家が関わる事案を調査しています。仕事のせいでこうした状況に置かれたのなら、あなたはまさに彼らが支援の対象としている人です。
人への影響も考えてください。 ジャーナリストであれば、あなたに連絡してきた情報源も危険にさらされている可能性があります。実はそれこそが本当の目的であることも少なくありません。
今後のリスクを減らす
- ロックダウンモードは、iOS で使える単独の対策として最も強力です。ほとんどの種類のメッセージ添付ファイル、一部のウェブ技術、いくつかの接続機能を無効にします。Apple は、ロックダウンモードをオンにした端末に対する傭兵スパイウェアの攻撃が成功した例は把握していないと述べています。「設定」→「プライバシーとセキュリティ」にあります。スマートフォンの使い勝手は悪くなりますが、それが引き換えです。
- すぐにアップデートしてください。 こうした攻撃の連鎖は、修正されていない欠陥に依存しています。遅れること自体が脆弱性です。
- 定期的に再起動してください。 メモリ上で動作する亜種に対しては、再起動で感染が取り除かれます。ただし証拠も消えるので、現在進行形の侵害が疑われる場合は、再起動する前に助言を求めてください。
- 攻撃を受ける窓口を減らしてください。 メッセージアプリを減らし、見知らぬ人が連絡できるアカウントを減らします。
- 用途を分けてください。 本当にリスクの高い仕事では、機密性の高い連絡相手専用の端末を別に用意すれば、1 回の侵害による被害を抑えられます。
よくある質問（手短に）
Pegasus を検出できるアプリはありますか？ iOS にはありません。アプリはサンドボックスの中で動作し、システムを調べることができません。だからこそ、信頼できる検出方法はどれも、パソコンからバックアップに対して行うものなのです。
初期化すれば取り除けますか？ おそらく取り除けます。ただし証拠も消えますし、標的にされた原因となった状況は何も変わりません。一つの手段であって、解決策ではありません。
何もクリックしていなくても感染しますか？ はい。それこそがこうした攻撃キャンペーンを特徴づける性質です。
心配すべきでしょうか？ ジャーナリスト、活動家、弁護士、政治家で、特に政府が嫌がるテーマに取り組んでいるなら、この疑問はもっともで、きちんと解決する価値があります。そうでなく、この検索のきっかけになった具体的な出来事もないなら、答えはほぼ確実に「いいえ」です。心配すべきなのは、はるかにありそうな一般的なストーカーウェアのほうです。その場合については、iPhone のスパイウェアを見つける方法のガイドで解説しています。
出典
- Amnesty International Security Lab、フォレンジック手法レポート：NSO Group の Pegasus を見つける方法：amnesty.org
- Mobile Verification Toolkit：mvt.re および github.com/mvt-project/mvt
- Apple、Apple の脅威通知と傭兵スパイウェアからの保護について：support.apple.com/en-us/102174
- Access Now Digital Security Helpline：accessnow.org/help