ジュースジャッキングとトラストジャッキングとは何か、そして自分を守るにはどうすればいいのか

保護されていないiPhoneやiPadを新しいポートに挿入すると、望ましくない感染を引き起こす可能性があります。「ジュースジャッキング」と「トラストジャッキング」はデジタル病を引き起こす2つの手口ですが、身を守る方法もあります。

外出先でiPhoneを充電する際、サイバーセキュリティについてこれまで考えたことがなかったかもしれませんが、Lightningケーブルは電力だけでなくデータも伝送できます。ここでは、そこに含まれる脆弱性とリスクを最小限に抑える方法をご紹介します。

「ジュースジャッキング」とは何ですか?

スマートフォンやタブレット端末は、充電とデータ転送に同じポートを使用しています。「ジュースジャッキング」は、悪意のある、あるいはセキュリティが侵害された充電ポートにデバイスを接続することで、デバイスからデータを盗み出すという可能性を悪用します。

以前は、iOSデバイスをPCに接続する際に認証が必要なかったため、iOSデバイスはジュースジャッキングに対してより脆弱でした。しかし、2013年にiOS 7が導入されたことで、状況は変わりました。

ジュースジャッキングを防ぐ方法

iOSデバイスをコンピューターに接続すると、iOS 7では「このコンピューターを信頼しますか？USBまたはWi-Fi経由で接続すると、このコンピューターから設定とデータにアクセスできます」というメッセージが表示されました。そこで「信頼」または「信頼しない」を選択できました。

その後、この文言は「このデバイスが写真や動画にアクセスできるようにしますか？このデバイスは、iPhoneに接続されている間、写真や動画にアクセスできるようになります」に変更されました。その後、「許可」または「許可しない」を選択できるようになりました。

自分がコンピューターを所有していない限り、常に「許可しない」を選択してください。

「許可しない」を選択すると、ジュースジャッキングは発生しません。充電専用のポートにデバイスを接続した際にこのメッセージが表示される場合は、データ転送やマルウェアのインストールを狙った悪意のある行為である可能性があります。

このプロンプトを拒否すれば、iOS デバイスでのジュースジャッキングを効果的に防ぐことができますが、2017 年に「トラストジャッキング」と呼ばれる関連する脆弱性が発見されました。

「トラストジャッキング」とは何ですか?

サイバーセキュリティソフトウェア企業のシマンテックは、ケーブルで悪意のあるソケットに接続されていない場合でも、別のユーザーが所有者のiOSデバイスをWi-Fi 経由で制御できる方法を発見しました。

これは、iTunes Wi-Fi Sync と呼ばれる機能を利用して動作します。この機能により (名前が示すように)、iOS デバイスとコンピューターが物理的に接続されていない場合でも、Wi-Fi 経由でiOS デバイスをコンピューターの iTunes ソフトウェアと同期できるようになります。

iOSデバイスをケーブルで接続する際に「許可」を選択すると、コンピュータはiTunes APIを使用してデバイスと通信できるようになります。この方法は、接続されたコンピュータを所有者が信頼するかどうかに依存しますが、物理的な接続が切断された後でも、攻撃者がデバイスを高レベルで永続的に制御する手段を提供してしまいます。

トラストジャッキングにより、攻撃者はiTunesのバックアップを作成し、アプリケーションをインストールすることができます。しかも、これらはすべて所有者の通知や同意なしに行われます。取得されたバックアップには、iMessageやSMSのチャットデータだけでなく、アプリデータも含まれる可能性があります。さらに、デバイスにインストールされたアプリが、ユーザーのアクティビティに関する機密情報やデータを収集する悪意のあるアプリに密かに置き換えられる可能性もあります。

iTunes Wi-Fi同期は、コンピュータとiOSデバイスが同じWi-Fiネットワークに接続されている場合にのみ使用できますが、トラストジャッキングは悪意のあるプロファイル攻撃と組み合わされ、VPNを使用して永続的なアクセスを維持する可能性があります。ただし、このような状況に遭遇するリスクは低く、組織のMDMプログラムに登録されているデバイスにのみ適用されます。