【iPhone・Android】APT29の水飲み場攻撃が発覚｜更新を怠るとCookieやメッセージが盗まれるおそれ、今すぐできる対策

【iPhone・Android】APT29の水飲み場攻撃が発覚｜更新を怠るとCookieやメッセージが盗まれるおそれ、今すぐできる対策 Android
スポンサーリンク

2026年11月4日、フランスのセキュリティ企業Sekoiaが、ロシア系とされるハッカー集団「APT29」（Midnight BlizzardやCozy Bearとも呼ばれます）によるとみられる攻撃を公表しました。正規サイトなどを改ざんし、訪れた人のiPhoneやAndroidから情報を盗もうとする「水飲み場攻撃」です。

ポイントは、悪用された脆弱性がすべて、AppleやGoogleがすでに修正済みのものだったことです。最新の状態に更新していれば防げる攻撃でした。この記事では、攻撃の概要と今すぐできる確認手順を、わかりやすく解説します。

スポンサーリンク
スポンサーリンク

「水飲み場攻撃」とは？今回の手口

水飲み場攻撃とは、動物が集まる水場で獲物を待ち伏せするように、ターゲットが訪れそうなサイトにワナを仕掛ける手法です。Sekoiaは、次の3つの経路を確認しています。

  • 正規サイトに不正なスクリプトを埋め込む
  • 本物そっくりの偽サイトを用意する
  • ウクライナのWeb解析サービス「Plerdy」を改ざんする（2026年8月27日〜9月3日の約1週間）

攻撃サーバーは訪問者の端末とバージョンを自動で判別し、更新されていない端末にだけ攻撃コードを送ります。クリックやダウンロードは不要で、ページを開くだけで攻撃が始まるケースがあります。なお、被害に遭った端末の数は公表されていません。

 

狙われたOSと盗まれる情報

確認された攻撃は3種類で、対象と盗まれる情報は次のとおりです。

  • iOS 16.7：Cookie（ログイン状態）
  • iOS 18.5：メッセージ（SMS、iMessage、WhatsApp、Telegramなど）、メール、キーチェーンのパスワード、写真、位置情報など（攻撃ツール「DarkSword」）
  • Android（Chrome 139〜145、143を除く）：ChromeのデータとWi-Fiパスワード

Cookieを盗まれると、ログイン状態を悪用してなりすまされるおそれがあります。この攻撃は端末に居座らないタイプで、再起動すれば攻撃コードは消えますが、盗まれた情報は戻りません。

改ざんされたPlerdyは主にウクライナのサイトで使われていたため、日本のユーザーがすぐ狙われるとは限りません。ただ、更新していない端末は、同じ手口の攻撃に弱い状態です。

 

iPhoneで今すぐ確認する手順

最新のiOS（現時点ではiOS 27.2）にしていれば、今回の攻撃の対象外です。次の手順で確認しましょう。

  1. 「設定」アプリを開く
  2. 「一般」をタップ
  3. 「ソフトウェア・アップデート」をタップ
  4. アップデートがあれば「ダウンロードしてインストール」を実行

同じ画面の「自動アップデート」をオンにしておくと安心です。iOS 27に対応していない機種でも、iOS 18.7系の最新版が配信されているので更新しておきましょう。

どうしても更新できない場合は、「ロックダウンモード」も選択肢です。Appleは、DarkSwordなどの攻撃について、ロックダウンモードでも保護されると案内しています。「設定」→「プライバシーとセキュリティ」→「ロックダウンモード」で有効にできます。ただし一部の機能が制限されるため、最新版への更新が基本です。

 

Androidは「Chrome」の更新を確認

Androidの攻撃は、古いバージョンのChromeが狙われました。手順は次のとおりです。

  1. 「Google Play ストア」を開く
  2. 右上のプロフィールアイコンをタップ
  3. 「アプリとデバイスを管理」を開く
  4. Chromeに更新があれば「更新」をタップ

自動更新をオンにしておくと安心です。機種によっては、「設定」から探せるOSのセキュリティ更新も、あわせて確認しておきましょう。

 

まとめ

今回のAPT29の攻撃は、すでに修正済みの脆弱性を突いたものでした。逆に言えば、こまめに更新していれば防げる攻撃です。OSやブラウザの更新は「あとでいいか」と後回しにしがちですが、このニュースをきっかけに、今日一度確認してみてください。ご家族の古いスマホも、あわせてチェックしておくと安心です。

参照元

  • Sekoia「Poisoned Source: APT29 watering holes target mobile devices with n-day exploits」（https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits）
  • Apple サポート「Update iOS to protect your iPhone from web attacks」（https://support.apple.com/en-au/126776）

コメント