企業証明書は依然としてiPhoneユーザーをスパイするために悪用されている

Apple のエンタープライズ証明書プログラムは、ユーザーの iPhone から大量のデータを取得する機能を持つ偽装スパイウェア アプリの発見により、引き続き不正目的で悪用されています。このアプリは、政府の監視アプリ開発者によって作成された可能性があります。

Appleのプログラムにより、企業顧客はApp Storeのコンテンツガイドラインに縛られることなく、組織内でアプリを作成・配布できます。このシステムでは、通常の消費者向けバージョンよりもiOS内のデータへのアクセス権限がはるかに高いアプリが認められていますが、プログラムのルールにより、組織外での使用は認められていません。

ルール違反であるにもかかわらず、悪質な組織がエンタープライズ証明書システムを悪用して、消費者を保護する App Store ガイドラインに従う必要のないアプリを配布するのを止めることはできませんでした。

モバイルセキュリティ企業Lookoutは、イタリアとトルクメニスタンのモバイルネットワークでキャリアアシスタンスアプリを装ったスパイアプリが発見されたことをTechCrunchに報告しました。このアプリはインストールされると、iPhoneに保存されている連絡先、音声録音、写真、動画、リアルタイムの位置情報などを密かに取得し、会話を盗聴することさえ可能です。

このアプリは、イタリア当局が監視目的で使用しているAndroidアプリ「Exodus」の開発元であるConnexxa社によって開発されたと考えられています。Android版は、ルートアクセス権限を取得するエクスプロイトを利用しており、最新のiOS版よりも広範囲に及んでいました。

iOSアプリとAndroidアプリはどちらも同じバックエンドを使用しており、両者が連携していることを示しています。証明書ピンニングなどのネットワークトラフィックを偽装する手法が使用されていることから、このアプリが専門家グループによって作成されたことが示唆されます。

研究者からアプリの不正な活動について報告を受けたAppleは、アプリの証明書を失効させ、アプリが動作しないようにしました。この攻撃の影響を受けたiOSユーザーの数は不明です。

Appleのエンタープライズ証明書プログラムの不正使用は、2019年初頭から同社にとって問題となっている。初期の報道では、GoogleとFacebookがエンドユーザーにエンタープライズ証明書を搭載したアプリを提供し、ユーザーの利用習慣を監視していたことに焦点を当てていた。この状況により、Appleは証明書を取り消し、Facebookの場合は社内問題を引き起こした。

2月には、開発者がプロ​​グラムを悪用し、通常はApp Storeから禁止されるようなアプリ（ポルノやギャンブルアプリなど）を提供していることが発覚しました。多くの開発者が、他社の情報を使って証明書を取得し、証明書で許可されるユーザー数の制限を回避していたことが判明しました。

また、一部の開発者が人気アプリのハッキング版を配布していることが判明しました。これらのハッキング版では、ユーザーは定額料金を支払うことなく音楽をストリーミングしたり、広告をブロックしたり、アプリ内課金を回避したりすることが可能でした。これは、正規版アプリの開発者が収益を逃し、AppleがApp Storeでの購入額から通常15%または30%の手数料を受け取れないことを意味していました。