https://indeep.jp/zero-click-attacks-in-japan/
＜転載開始＞
2025年5月18日のエポックタイムズより
Epoch Times
悪い時代に世界から目をつけられた日本
今日、NHK の報道で、「 4月に、日本を標的にした詐欺メールが、世界全体の 8割を占めた」という報道を見ました。
つまり、どうも、現在、世界中の悪い人たちが「日本をメインのターゲットにし始めている」ような感じなんですね。
これは、日本人がだまされやすいというよりも、日本の場合、「適切な個人情報」さえ入手できれば、表立ってはいないような人たちが、実際には結構な資産を持っていたりすることにありそうです。強盗の増加なんかもそれと関係ありそうですが、最近、日本で狙われているもののひとつに、
「証券会社の口座」
があります。
不正ログインをされて、株式などを勝手に売買されてしまったりするというもので、これも今年 3月から急増しています。
以下はブルームバーグにあるもので、2025年3月に「突然増えた」ことが示されています。
証券口座への詐欺が急増
bloomberg.co.jp
現在が投資ブームなのかどうかは私にはよくわからないですが、証券会社の口座を持っている人の中には、たとえば退職金を株式にして資産運用している人たちとか、つまり「結構な資産がそこにある」ことに、海外の多くの悪い人たちが気づいたのですかね。
その上で、
「わりと多くの人がリスク管理がぞんざい」
だということにも気がついたのかもしれません。
たとえば、毎日株式取引をしていたり、チャートを見ていたりする人なら、ある程度、自分の口座の状況は日々わかると思うのですが、中には、
「ほったらかしの人」
も結構いるような気もするのです。
高齢者の方とか。
株式を保有していて、何ヶ月も何年も口座を見ていなかった方が、ある日、口座を見て、「え？」と愕然とするというような状況も、今は実際にあると見られるのです。
以下はある報道にある部分ですが、こういうことがかなり起きている。
＞ 【証券口座を乗っ取られた人】「私が持っていた株が全て売られていまして。マイナス480万円ぐらいになりまして。率直に頭が真っ白になりました」
480万円と聞くと、犯罪の対象としては、そう魅力的には見えないかもしれないですが、これが 10人、100人、1000人、10000人を対象とすれば、犯罪者にとっては魅力的な価値が生じるはずです。
他人の株を勝手に売って、犯罪者がどのように自分たちの儲けを出すのかということも、報道に書かれていますが、簡単にいえば、不正アクセスして他人の口座の株を売却して、ある特定の株、たとえば A株としますと、その A株を大量に購入して、価格がつり上がったところで、グループが事前に買っていたその A株を一気に売却するというものです。これで利益を得るわけです。
その後は、当然、その A株は暴落しますので、もともとの正式の口座の持ち主の口座には、マイナス表示された残骸だけが残るということです。
この口座乗っ取りを取り上げた最近の報道では、「フィッシング詐欺」というものが書かれていることもあり、これは迷惑メールとか、そういうもののリンクをクリックして、不正なページ等に誘導されて、個人情報を盗み出されるというものです。
しかし、被害者あるいは被害未遂を経験した方々の中には、投資のプロ的な人たちも含まれていて、
「そんな経験豊富な人たちが、迷惑メールのリンクをクリックしてしまうなどという粗相をおかすわけがない」
のです。
あるいは、マルウェアというウイルスがありますが、それに対してのセキュリティ対策ができていないプロ的な投資家などいるわけがないのです。
別の方法です。
世界の犯罪者たちは、別の方法を使って日本で詐欺をおこなっているはずです。
今回ご紹介するのは、米エポックタイムズが、プレミアムレポートとして、「ゼロクリック攻撃」というものを特集したものです。
ゼロクリック攻撃とは以下のようなものです。
ゼロクリック攻撃とは、ユーザーが「一度もクリックせずとも」被害に遭遇する可能性がある攻撃手法のことだ。特定のリンクへのクリックや、ファイルの実行といったユーザーのアクションが発生せずとも攻撃が成立する。
多くの場合、ユーザーの気づかぬ間に、情報を窃取するスパイウェアなどのマルウェアがインストールされ、被害に至る。
従来は、非常に難易度の高い攻撃で、簡単に個人にできるようなものではなかったようですが、最近は「そのプログラムがダークなサイトなどで販売されている」こともあり、拡大しているようです。
ちなみに、ターゲットはパソコンもスマートフォンも、どちらも含まれているでしょうが、以前、イスラエルの企業が開発した「ペガサス」というスパイウェアは、スマートフォンへの侵入に特化したものでした。
ペガサスは近年、国際的なゼロクリック攻撃の多くに関与しているそうですので、スマートフォンは狙われやすいのかもしれません。
攻撃の対象は今は証券口座ですが、オンラインで完結できるようなものならどんなものでも攻撃の対象になり得ますので、そのうちどんな部分が狙われ始めるのかわかったものではなく、防御は実際には難しいながら、できる限りのセキュリティ対策をお勧めしたいです （スマートフォンを使わないという防御法はありますが）。
そんなわけで、エポックタイムズの記事をご紹介します。
プレミアムレポート：ユーザーがリンクをクリックすることなく、ハッカーがスマートフォンを制御する方法
Premium Reports : How Hackers Can Control Phones Without the User Clicking on a Link
Epoch Times 2025/05/18
ゼロクリック攻撃は、主に著名人を標的にして情報を得るために使用されていたものから、より広範な脅威へと進化した。
専門家は、ユーザーの操作なしにデバイスを侵害するゼロクリック攻撃の増加を警告している。
現在、ほとんどの人は、ノートパソコンやスマートフォンは生活から切り離せない存在となっている。その慣れ親しんだ環境から、迷惑メール、SMS、WhatsApp メッセージをクリックすることの危険性に対する警戒心が高まっている。
ゼロクリック攻撃と呼ばれる脅威が拡大しているのだ。
そのコストと高度な手法のため、これまでは VIP や超富裕層のみをターゲットにしていた攻撃だった。
ゼロクリック攻撃とは、ユーザーが何もクリックすることなくデバイスをハッキングするサイバー攻撃だ。メッセージ、通話、ファイルを受信するだけで攻撃が実行される場合がある。
攻撃者はアプリやシステムに潜む脆弱性を悪用し、ユーザーの操作を必要とせず、攻撃に気付かないままデバイスを乗っ取る。
英国を拠点とするサイバーセキュリティ研修プラットフォーム、ステーション X の CEO、ネイサン・ハウス氏は以下のように語った。
「最近は一般の認識が高まっているものの、こうした攻撃は長年にわたって着実に進化しており、スマートフォンやインターネット接続デバイスの普及に伴い、より頻繁に行われるようになっています」
「主な脆弱性はデバイスの種類ではなくソフトウェアにあるため、悪用可能な弱点を持つあらゆる接続デバイスが標的になる可能性があります」
サイバーニュースの情報セキュリティ研究者、アラス・ナザロヴァス氏は、ゼロクリック攻撃が一般個人ではなく VIP をターゲットにすることが多い理由をエポックタイムズに以下のように語った。
「このようなゼロクリック・エクスプロイトを見つけるのは困難で費用もかかるため、ほとんどの場合、このようなエクスプロイトは権威主義体制下の政治家やジャーナリストなどの重要人物の情報にアクセスするために使用されます」
「これらは標的型攻撃でよく利用されますが、金銭を盗むためにこのようなエクスプロイトが利用されることは稀です」
（※ 訳者注）エクスプロイトとは、OSやソフトウェアなどのセキュリティ的のぜい弱性を突いた攻撃や、ぜい弱性を狙うプログラムを表す言葉です。
2024年6月、BBC はソーシャルメディアプラットフォームの TikTok が、メディア CNN のアカウントを含む「ごく限られた」数のアカウントが侵害されたことを認めたと報じた （報道）。
ゼロクリック・エクスプロイトとエクスプロイト・チェーンを販売する市場は、長年にわたって数十億ドル規模の市場となってきた
TikTokの所有者であるバイトダンス社はハッキングの性質を認めなかったが、カスペルスキーやアシュアード・インテリジェンスなどのサイバーセキュリティ企業は、ゼロクリック攻撃によるものだと示唆した。
ナザロヴァス氏はこのように語った。
「高度な技術が求められるのは、こうした攻撃を可能にするバグを見つけ、そのバグを悪用するエクスプロイトを書くことです」
「ゼロクリック・エクスプロイトやエクスプロイトチェーンの販売は、長年にわたり数十億ドル規模の市場となっています。グレーマーケットやダークマーケットのエクスプロイト・ブローカーの中には、人気デバイスやアプリ向けのエクスプロイトチェーンに対し、 50万ドル （約 7200万円）から 100万ドル （約 1億4000万円）の提示をする者もいます」
ナザロヴァス氏は、一般ユーザーでも、過去にゼロクリックの「ドライブバイ」攻撃 （※ 悪意のあるプログラムをユーザーの同意なしで端末にインストールする攻撃）の被害に遭った事例があると付け加えた。
これは、悪意のあるソフトウェアが意図せずデバイスにインストールされた後に発生する攻撃であり、多くの場合、ユーザーがそれに気付くことすらない。
ハウス氏は、ゼロクリック攻撃は発見に費用がかかるソフトウェアやアプリの脆弱性を狙うことが多く、つまり犯人はたいてい「国家レベルの組織か資金力のある集団」だと述べた。
拡大するスパイウェア市場
最近の AI の革新により、音声複製やフィッシングなどの特定のサイバー犯罪がより蔓延しているが、ゼロクリック攻撃のリスクが高まったという証拠はまだないとナザロヴァス氏は言う。
ステーション X 社のハウス氏は、AI を使うことで「時間や経験、知識があまりなく、エクスプロイトを発見して作成できない人でも、ゼロクリックのエクスプロイトチェーンを作成できるのです」と述べた。
しかし、近年のゼロクリック攻撃の増加は、「 AI 主導の技術による直接的なものではなく、主にスパイウェア市場の拡大と高度なエクスプロイトの入手しやすさに起因しています」と彼は述べた。
同氏によると、ゼロクリック攻撃は 10年以上前から存在しており、最も悪名高かったのは、ペガサス・スパイウェア事件だという。
（※ 訳者注） 「ペガサス」は、イスラエル製のスパイウェア。近年、国際的なゼロクリック攻撃の多くに関与しているそうです。
2021年7月、ガーディアン紙と他の 16のメディアは、外国政府がイスラエルに拠点を置く NSO グループのペガサスソフトウェアを使用して、世界中の少なくとも 180人のジャーナリストとその他多数のターゲットを監視していると主張する一連の記事を掲載した。
ペガサスの監視対象とされた人物には、フランスのエマニュエル・マクロン大統領、インドの野党指導者ラフル・ガンディー氏、2018年10月2日にイスタンブールで殺害されたワシントン・ポスト紙記者ジャマル・カショギ氏などが含まれている。
NSO グループは当時の声明で 、「 NSO が以前にも述べたように、当社の技術はジャマル・カショギ氏の凶悪な殺害とは一切関係がありません」と述べた。
5月6日、カリフォルニア州の陪審は、NSO グループに対するプライバシー訴訟で、WhatsApp の親会社である Meta に 44万4719ドル （約 6400万円）の補償金と 1億6730万ドル （約 240億円）の懲罰的損害賠償を命じた。
WhatsApp の訴えはペガサススパイウェアに焦点を当てたものだった。訴状によると、このスパイウェアは「 Android、iOS、BlackBerry OSを搭載したモバイルデバイス上の通話、メッセージ、位置情報などの情報にリモートでインストールされ、リモートアクセスや制御を可能にするために」開発されたという。
（※ 訳者注）BlackBerry OS は、カナダの企業プラックベリー社のスマートフォン向けの OS です。
「担保ターゲット」
「攻撃者は一般的に、こうした高額な攻撃を、特に価値の高い情報や機密性の高い情報を持つ個人に仕掛けるのですが、一般ユーザーが時折、巻き添えの標的になることもあります」とナザロバス氏は述べた。
ナザロヴァス氏によると、企業はハッカーに「バグ報奨金」を提供し、ハッカーがこうした脆弱性を発見して企業に報告するように奨励している。ハッカーが脆弱性をブローカーに売り、ブローカーがそれを違法に利用する者に売り渡すのを防ぐためだ。
ハウス氏は、ゼロクリック攻撃に対する防御は「困難」だが、いくつかの簡単なサイバーセキュリティ対策でリスクを軽減できると述べた。
「ユーザーは常にソフトウェアとオペレーティングシステムを最新の状態に保ち、デバイスを定期的に再起動し、特に自分が高リスクの標的であると考える場合は、Apple のロックダウンモードなどの強化されたセキュリティモードを使用する必要があります」
（※ 訳者注）ロックダウンモードは、Apple のこちらのページに説明があります。ただし、使い勝手が非常に悪くなります。
ハウス氏は、どのような予防措置を講じるとしても、「先進的な国家による攻撃のような非常に高度な攻撃では、最も強固な防御さえも突破する可能性がある」ことを認識することが重要だと述べた。
ナザロヴァス氏によると、Apple、Google、Microsoft といった大手 IT 企業は、数十億台ものデバイスから膨大なテレメトリデータを収集し、ゼロクリック攻撃などの高度な攻撃の検知に活用しているという。テレメトリデータとは、スマートフォンやパソコンなどのデバイスからリモートで収集される情報で、特にアプリの使用状況や動作に関するデータは、パフォーマンスの向上、問題の解決、アクティビティの追跡に役立てられるため、中央システムに送り返される。
「こうした攻撃を可能にする脆弱性が検出された場合、自動更新により迅速に修正され、数十億人の人々にほぼ即時に展開されます」とナザロバス氏は述べた。
コメント