スローミストがiOS攻撃ツールDarkSword関連の偽サイトを検知。確認数は1,500件超に増加

ブロックチェーンセキュリティ企業のスローミストは、iOSの脆弱性を悪用する攻撃ツール「DarkSword」に関連したフィッシングサイトが1,500件以上確認されたことを明らかにしました。この攻撃は細工されたWebページをSafariで開くだけで成立し、端末内のキーチェーン認証情報や仮想通貨ウォレットの秘密鍵などが窃取される危険性があります。攻撃サーバーの分析では侵入成功例の大半でデータ持ち出しまで完了していたことが判明しており、暗号資産を扱うユーザーや事業者にとって深刻なセキュリティ上の脅威となっています。

脆弱性を突く手口とサーバー分析による侵入被害の実態

DarkSwordは、iOSに存在した6つの脆弱性を組み合わせて悪用する攻撃ツールです。アプリを他の領域から隔離して保護する仕組みであるサンドボックスを突破し、キーチェーン（パスワードの保管機能）に記録された認証情報、端末内のウォレットの秘密鍵、メモアプリのデータなどを盗み出します。ユーザーが細工されたページをSafariで閲覧するだけで攻撃が開始される仕組みとなっており、特殊な操作を必要としない点が特徴です。本ツールはグーグルの脅威インテリジェンスグループ（GTIG）やセキュリティ企業のiVerify、Lookoutが3月に公表した後、インターネット上にコードが流出していました。

スローミストが10月19日に公表した稼働中の攻撃サーバーに関する報告書によると、管理画面には30日間で2万187件のページ閲覧と1,187件の侵入試行が記録されていました。侵入に成功した10件のうち9件で実際にデータの持ち出しまで進行していたことが確認されています。攻撃が成立する環境は、iOS 18.6から18.7.2まで、およびiOS 26.0から26.1までのバージョンとされています。

大手取引所の偽装や金融機関職員を標的とした亜種の確認

スローミストの脅威監視システム「MistEye」による分析では、攻撃者はECサイト、大手取引所、仮想通貨ウォレット、ゲームサービスなどを装った偽サイトを設置して利用者を誘導しています。Malwarebytesの報告によると、9月には新型iPhoneの予約販売を装う手口も確認されました。

さらに、標的や機能の高度化も進んでいます。iVerifyは10月8日に金融機関職員のiPhoneからDarkSwordの亜種となる「P7 DarkSword」が検出されたことを公表しました。また、米Censysが攻撃用サーバーを調査したところ、端末の写真やメモに保存されているシードフレーズ（ウォレット復元用の単語列）を自動で探索・検出する機能が備わっていたことが明らかになっています。

推奨されるシステム更新とウォレット資産の保護手順

アップルはDarkSwordが悪用する一連の脆弱性について、iOS 26.3までに修正を完了しています。また、iOS 18環境を利用する端末向けにも、4月1日にiOS 18.7.7の配信対象を拡大して対応を行っています。

利用者は、設定アプリ内の「一般」から「ソフトウェアアップデート」を選択することでOSを更新できます。スローミストは、ウォレットの認証情報やシードフレーズを端末のメモアプリに保存しないことや、不審なアプリを警戒することを求めています。なお、脆弱性が修正されていないバージョンの端末で不審なページを開いた心当たりがある場合は、被害を防ぐため、該当ページを開いていない別の安全な端末で新しいウォレットを作成し、速やかに資産を移動させることが推奨されています。

ポイント

• 暗号資産ウォレットの秘密鍵などを狙う攻撃ツール「DarkSword」関連の偽サイトが1,500件以上確認され、取引所やウォレットを装う広範囲な手口が展開されている点で警戒が必要です。
• Safariで対象ページを開くだけでサンドボックスを突破される仕組みであり、Web3サービスを利用するモバイル端末への直接的な侵入脅威となっている点で技術的に重要です。
• 調査された攻撃サーバーにおいて、侵入成功事例10件中9件でデータ持ち出しが完了していたことから、接触時の実害発生率が極めて高い点で深刻視されます。
• 金融機関職員を標的とした亜種やシードフレーズの探索機能が確認されており、秘密鍵や認証情報をメモに保存しない運用管理の徹底が求められる点で注目されます。