本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
TechFlowによると、SlowMist創業者のCosineは2026年10月24日、脅威探索システム「MistEye」で、iPhoneを狙う攻撃ツール「DarkSword」に関連するフィッシングサイトを1500件超発見したとXに投稿した。偽の暗号資産取引所やウォレットなどに関係するサイトが含まれるという。
偽装サイトの検出と、攻撃サーバーに残る記録
TechFlowが紹介したCosineの説明によると、検出されたサイトは、EC、偽のBinanceやOKX、暗号資産ウォレット、ゲーム、暗号資産交換サービスなどに関係している。1500件超という数字は関連サイトの検出数を示すもので、感染端末や被害者の人数を示すものではない。BinanceやOKXは偽装先として挙げられている。
攻撃の進行状況を示す材料もある。SlowMistが10月19日に公開した分析によると、特定の攻撃サーバーの管理画面には、30日間でページ閲覧2万187件、侵入試行1187件、成功10件が記録されていた。成功例のうち9件では、データの持ち出しまで進んだという。これらはそのサーバーの管理画面に由来する数値であり、検出されたサイト全体の被害規模を示すものではない。
脆弱性を連鎖させる仕組みと更新の呼びかけ
Google Threat Intelligence Group（GTIG）の技術分析によると、DarkSwordは複数の脆弱性を連鎖させ、アプリを隔離する仕組みを突破して端末内の情報にアクセスする。GTIGが分析した攻撃チェーンはiOS 18.4～18.7を対象とし、6つの脆弱性を利用していた。
一方、SlowMistの10月19日付の分析では、調査した攻撃パッケージが実際に悪用可能と判断されたOSの範囲として、iOS 18.6～18.7.2と26.0～26.1が挙げられている。これはGTIGが先に分析した攻撃チェーンとは区別が必要であり、該当する全バージョンで侵入成功を実証したことを意味しない。今回の警告では、キーチェーンに保存された認証情報、端末内のウォレット秘密鍵、メモのデータが窃取対象として挙げられた。
既知の脆弱性への修正について、GTIGは自身が分析した6つの脆弱性がiOS 26.3の公開までにすべて修正されたと説明している。またAppleは、DarkSwordへの防御を含むiOS 18.7.7を3月24日に公開し、4月1日には提供対象を拡大した。ただし、これらの説明は今回検出された各サイトや改変版の安全性を個別に保証するものではない。
SlowMistはOSの更新と不審なリンクやアプリへの警戒を呼びかけている。また、ウォレットの認証情報や復元に使うシードフレーズをメモに保存しないよう求めた。iOSの更新は設定アプリの「一般」から「ソフトウェアアップデート」で確認できる。
参考・出典
- Threat Intelligence | Analysis of the DarkSword Trojan Backend and iOS Attack Chain
- The Proliferation of DarkSword: iOS Exploit Chain Adopted by Multiple Threat Actors
- iOS 18.7.7およびiPadOS 18.7.7のセキュリティコンテンツについて
- Mist Cosine: Over 1,500 DarkSword phishing sites discovered across the web, involving fake Binance, OKX, and crypto wallets
- 仮想通貨ウォレット狙うiOS攻撃ツール、偽サイト1,500件超を確認
- 仮想通貨メディアに不正スクリプト、iPhone狙う攻撃の報告で判明
