ロイター通信によると、米国政府は本日、最近発見された「Masque Attack（マスクアタック）」の脆弱性について、iPhoneおよびiPadユーザーに対し警告を発した。今週初めにウェブ上で拡散し始めたこのセキュリティ欠陥により、エンタープライズプロビジョニングプロファイルを使用しているデバイスに悪意のあるサードパーティ製アプリがインストールされる可能性がある。
本日の速報は、国家サイバーセキュリティ・通信統合センター（NCCIC）から発表されたもので、Masque Attackの拡散方法と、その能力についてユーザーに警告を発しています。このマルウェアは、新しいアプリやゲームを装ったフィッシングリンクを介してインストールされ、その後、Gmailのようなよく知られたアプリになりすます可能性があります。
このアプリはインストールされると、ほぼすべてのiOSアプリを模倣し、ログイン認証情報やクレジットカード情報を盗むことができます。また、ローカルデータキャッシュを介して個人データにアクセスしたり、ホストデバイスのバックグラウンド監視を実行したり、さらには最悪なことに、ホストデバイスのルートアクセス権限を取得したりできるため、できないことはほとんどありません。
NCCICは、ユーザーはApp Store以外で入手できるアプリを避けることで身を守ることができると述べています。特に、サードパーティのウェブサイトのポップアップボックスで「インストール」をタップしないこと、そして知らない連絡先からiMessageで送られてきたリンクを開かないように注意する必要があります。また、iOSで「信頼できないアプリの開発元」という警告が表示された場合は、必ず「信頼しない」を選択してください。
Masque Attackを発見したチームであるFireEyeは、Appleに脆弱性について通知したと述べていますが、まだ返答はなく、Appleもこの問題に関して公式声明を出していません。この脆弱性はiOS 7.1.1、7.1.2、8.0、8.1を含む幅広いデバイスに影響を与えており、最新の8.1.1ベータ版でも修正されていません。
[ロイター]
