SecurityHeroblog
セキュリティの基本8閲覧

まだ開いていないiPhone Duo予約、先に現れたページの正体

Appleの正式な事前予約は10月16日に開きます。それより先に「500ドルクーポン」を掲げた偽の予約ページが発見されました。アップデートを後回しにしたiPhoneは、このページを開くだけで攻撃が始まるという分析です。

呼び鈴が鳴ります

夕方に呼び鈴が鳴ります。ドアの外で誰かが言います。 「新製品の事前予約キャンペーンです。今お申し込みいただくと500ドルのクーポンを差し上げます」

用心深い人はドアを大きく開けません。ドアチェーンをかけたまま少しだけ開けます。チラシだけ受け取って閉めればいいからです。普通はこれで十分です。

ところが、そのドアチェーンがメーカーがすでに欠陥を告知しているモデルだとしたら話は変わります。この欠陥に合う道具を持っている人なら、わずかな隙間からチェーンを外せます。私が応募券に名前を書いている間、ドアの外の手はチェーンに触れています。

今週セキュリティ業界から出てきた話は、まさにこの場面です。ただし玄関のドアは私のiPhoneです。呼び鈴はウェブページのリンクです。

何が起きているのか

事実 セキュリティ企業Malwarebytesが、Appleのデザインを真似た**「iPhone Duo事前予約」ページを見つけ出しました。9月29日に分析記事を公開しました。このページの中にはDarkSword**というiPhone攻撃コードが入っていました。

事実 ページはこのように動きます。

  • 500ドルクーポンとAppleCare込みを掲げます。AppleCareはAppleの修理保証サービスです。
  • Safari以外のブラウザで開くと**「Safariで開いてください」**と案内します。
  • 名前・メールアドレス・電話番号を記入する欄があります。
  • すべて記入すると「予約完了」画面が表示されます。しかし実際の注文は入りません。

事実 本当の攻撃はその入力欄で起こるのではありません。脆弱なiPhoneであればページを開くだけで攻撃の試みが始まります。欄を埋めなくてもかまいません。何かをダウンロードしなくてもかまいません。

推定 玄関のたとえに移すとこうなります。名前を書く欄は応募券です。私の目を引きつけておく小道具なのです。本当の仕事はドアを少し開けた瞬間、その隙間で行われます。

事実 攻撃が成功した場合に何を持ち去ろうとするのかもMalwarebytesが分析しました。以下のリストはその分析記事で報じられた内容です。実際のiPhoneからデータが流出する場面まで確認されたわけではありません。

  • キーチェーンに保存されたパスワード。 キーチェーンはiPhoneが私の代わりにパスワードを覚えておく保管庫です。
  • Appleメモ
  • メッセージ・通話履歴・連絡先・ボイスメール・メール・カレンダー
  • 位置情報の記録
  • インストール済みアプリの一覧
  • コインウォレットアプリ6種のデータ — MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus, Tonkeeper

事実 感染しても画面には何の表示も出ないことがあります。ドアを閉めてしまえばドアチェーンは無事に見えます。すでに一度外されて掛け直された後でもそうです。

なぜこの餌が通じるのか

事実 Appleが発表したiPhone Duoの正式な事前予約日は10月16日です。発売は10月23日です。韓国は第1次発売国に入っています。

推定 だから今がこの餌が最もよく効く時期だと見ています。理由は三つです。

第一に、待ち時間。 正式な予約まで今日（10月3日）から2週間ほど残っています。待っている人にとって「先に予約できる」という言葉は魅力的です。呼び鈴の音を待っていた家に呼び鈴が鳴ったわけです。

第二に、大きな割引。 500ドルクーポンは公式販売店が出さない割引です。チラシが派手であるほど、ドアを開けてみる理由ができます。

第三に、「Safariで開いてください」。 この攻撃コードはSafariでページを開いたときに作動します。ドアの外の人が「必ずこのドアで開けてくれ」と言い張るなら、そのドアのチェーンに合う道具を持ってきたという意味です。親切な案内のように見えますが、実は攻撃条件を揃える段階です。

数字で見ると

事実 今回の事件で確認された数字は多くありません。それでも一つ一つがやるべきことにつながります。

数字 何なのか 比べてみると
500ドル 偽ページのクーポン金額 公式販売店はこのような割引を出しません。金額そのものが警告サインです
10月16日 Apple正式事前予約の開始日 この日付より前に「今すぐ予約可能」と言うなら偽物です
6個 ページを一つ開く間に続けて使われるiPhoneの弱点 多く見えますが、アップデート一つで全部ふさがります
6種 攻撃コードが狙うコインウォレットアプリ このアプリを使っているなら被害がそのままお金になります

事実 DarkSwordは新しい武器ではありません。2026年3月にGoogleの脅威分析チーム（GTIG）が公開しました。iPhoneの弱点、すなわち脆弱性6個を順番につなげて使う攻撃の束です。チェーン一つを外すには弱点をいくつも順に通らなければならないのですが、その順番をあらかじめ全部つないでおいた道具セットだと考えればよいでしょう。

事実 その6個のうち3個は公開当時ゼロデイでした。ゼロデイとは、メーカーもまだ知らないため直す部品が一つもなかった弱点を指します。

事実 Googleの分析によると影響を受けるバージョンはiOS 18.4〜18.7です。iOS 26.3以上ではすべて修正されました。 一部はそれより先にiOS 18.7.2〜18.7.3で修正されました。MalwarebytesはAppleが「アップデートされた端末は報告されたDarkSword攻撃から保護される」と明らかにしたと伝えました。

推定 整理するとこうです。チェーンの欠陥は半年前にすでに知られていました。メーカーは新しいチェーンも出しました。今回のページが狙っているのはチェーンをまだ替えていない家です。

事実 DarkSwordは3月の公開当時、商用の監視企業と国家が背後にいると疑われる複数の組織が使ったと報告されました。今回の偽ページを誰が運営しているのか、彼らと関係があるのかは確認されていません。実際の被害者数も出ていません。 だから私たちも数字を付けません。

今やるべきこと

やるべきことは大きく二つです。チェーンを替えること、そして呼び鈴に応じないことです。

1. まずチェーンを替える — iOSアップデート

  • 設定 > 一般 > ソフトウェアアップデートで最新のiOSに上げます。
  • 同じ画面で自動アップデートをオンにします。次の欠陥が知られたときにチェーンが自然に替わるようにしておくのです。
  • 怪しい事前予約ページを開いたことがあるならiPhoneを一度電源を切って入れ直します。

事実 再起動を勧めるには根拠があります。Malwarebytesは分析したコードから再起動後に自ら復活する仕掛けが見られなかったと明らかにしました。ただしこれも報じられた分析であり、実機で試験した結果ではありません。

事実 最新バージョンに上げられない事情があるなら、GoogleはAppleの**ロックダウンモード（Lockdown Mode）**をオンにするよう勧告しました。iPhoneの戸締まりを最高段階に上げる設定だと考えればよいでしょう。

2. 呼び鈴に応じない — 自分で直接出向く

  • 事前予約はリンクを押しません。 アドレスバーにapple.comを直接打ち込みます。
  • またはApple Storeアプリや通信会社の公式アプリだけで行います。

玄関のたとえで言えば、ドアの外の人を相手にせず自分で直接店舗まで歩いていくことです。そうすれば誰がどんな道具を持ってきても私のドアが開くことはありません。

こういうものが見えたらドアを閉めてください

  • 10月16日より前なのに**「今すぐ予約可能」**
  • 「公式パートナー限定500ドルクーポン」
  • Appleが売っていないカラーやモデルのオプション
  • Chromeなど他のブラウザで**「このブラウザは制限されています、Safariで開いてください」**

すでに開いてしまい、コインウォレットがあるなら

  • 新しいウォレットと新しいリカバリーフレーズを作り、資産を移します。リカバリーフレーズはウォレットをまるごと復元する鍵となる文章です。

推定 アップデートはこれから開く隙間をふさいでくれます。しかし、すでに流出したかもしれないものまで取り戻してはくれません。感染したかどうかを自分で確認する方法も知られていません。だからお金が懸かっているウォレットは鍵そのものを新しく作る方が安全です。

私たちが分からないこと

この記事が確認できなかったことです。知ったふりをしないために別に書き留めておきます。

  • どのような経路で広がるのか分かりません。 Malwarebytesは広告・メッセージ・SNS投稿で来る可能性があるとだけ述べました。実際の拡散経路の資料はありません。「SMSで来る」と断定する根拠もありません。
  • 被害者が何人なのか分かりません。 公開された数字がありません。
  • このページが正確にどのiOSバージョンを狙っているのか分かりません。 Malwarebytes自身も確認できなかったと明らかにしました。実際のiPhoneで試験したり、データが出ていくのを観察したりもしていないと自ら書いています。上記の「iOS 18.4〜18.7」は3月のGoogle分析で出たDarkSword全体の範囲です。
  • 日本語ページがあるのか、日本で広がっているのか分かりません。 そのような報道はありません。韓国が第1次発売国なので時期が重なるということまでしか言えません。
  • iOS 26に上げられない旧型iPhoneがiOS 18のアップデートだけで全部ふさがるのか分かりません。 9to5Macは3月にiOS 18用のパッチが出たと書きました。Googleは一部のみ18.7.2〜18.7.3で先に修正され、全体の修正は26.3だと書きました。私たちは両者を照合できていません。
  • ページの運営者が誰なのか分かりません。 3月にDarkSwordを使った組織たちと関係があるのかも知られていません。国籍や背後は推定しません。
  • ページを開いた人が感染の有無を自分で確認する方法は報じられていません。
  • Appleのセキュリティ告知の原文は直接開いて照合できていません。

出典

一次出典

報道

関連CVE（公開された脆弱性番号）: CVE-2025-31277 · CVE-2025-43529 · CVE-2026-20700 · CVE-2025-14174 · CVE-2025-43510 · CVE-2025-43520

2026-10-03時点で整理しました。私たちのハニーポットで観測した内容ではありません。上記の出典の公開分析を私たちの言葉で書き直した記事です。記事の文章と画像は転載していません。この記事には攻撃コード、悪性アドレス、認証情報を載せていません。確認されていないこと: 攻撃コードが狙うデータの一覧と「再起動後に復活しない」という内容はMalwarebytesの分析報道のみに基づいています。実際のiPhoneで確認されたものではなく、拡散経路と被害規模も公開されていません。