倫理的なハッカーは、Macを持っているからといってサイバー攻撃から免れるわけではないことを証明している

2人のセキュリティ研究者が、億万長者の映画プロデューサー、ジェフリー・カッツェンバーグ氏のMacのハッキングに成功した。これは、macOSデバイスを所有しているだけではサイバー脅威に対する自動的な防御にはならないことを証明している。

ソーシャルエンジニアであり、SocialProof SecurityのCEOであるレイチェル・トバック氏は、特定されていないmacOSデバイスへの攻撃を成功させました。トバック氏によると、この攻撃は、カッツェンバーグ氏が投資している個人情報盗難対策企業Auraのデモンストレーションだったとのことです。

トバック氏は、すでに修正済みの脆弱性とソーシャルエンジニアリングのスキルを駆使し、カッツェンバーグ氏に偽装ウェブサイト上のフィッシングリンクをクリックさせました。カッツェンバーグ氏がクリックすると、彼女はMacから写真、メール、連絡先を盗み出すことに成功しました。

さらに、ハッカーはmacOS内蔵のマイクインジケーターを起動することなく、Macのマイクをオンにしてカッツェンバーグ氏の会話を盗聴することができた。

トバック氏の夫でハッカー兼セキュリティ研究者のエヴァン氏は、macOSの脆弱性についての詳細を記した別のTwitterスレッドを公開した。

このエクスプロイトは、Safari のユニバーサル クロスサイト スクリプティング バグを発見して 100,500 ドルの報酬を受け取ったことで有名になった Ryan Pickren 氏の研究に基づいて構築されました。

具体的には、この脆弱性を悪用した攻撃は、iCloudリンクとSafariの共有設定を利用して攻撃を実行しました。重要なのは、この攻撃が成功したのは、カッツェンバーグ氏のMacが数回アップデートされて古い状態だったためです。

トバックス両氏によると、この特定の攻撃に対する軽減策としては、最新のセキュリティ更新プログラムをマシンに常に適用しておくこと、通信の検証に少なくとも 2 つの方法を使用すること、そして、特に緊急に送られてきた疑わしい電子メールのリンクをクリックしないようにすることなどが挙げられる。