こんにちは。フォレンジックアナリストの視点から、最近相次いでいるApple偽SMSによる企業情報漏洩事件について詳しく解説していきます。
2025年10月現在、Apple公式や宅配業者を名乗る巧妙なSMSを起点とした「スミッシング」攻撃が急増しており、大手企業でも深刻な被害が発生しています。実際に私たちが調査した事例を踏まえながら、どのような対策が必要なのかお話ししていきましょう。
実際に発生した深刻な被害事例
まず、実際に発生した被害の深刻さを理解していただくため、具体的な事例をご紹介します。
熊谷組の事例：1238件の連絡先情報が危険にさらされる
準大手ゼネコンの熊谷組では、2025年7月に社用iPhone経由での情報漏洩被害を公表しました。この事件では、なんと1238件もの連絡先情報が閲覧可能な状態になった可能性があることが判明しています。
フォレンジック調査の経験から言えることは、このような大量の連絡先情報流出は、単なる個人情報の問題にとどまりません。取引先企業の情報、協力業者の連絡先、さらには建設業界特有の現場関係者の個人情報まで含まれている可能性があり、業界全体への影響も懸念されます。
小学館の事例：出版業界を狙った巧妙な手口
小学館では2023年4月、宅配業者を装った不在通知SMSにより、302名分の個人情報が流出する可能性が発覚しました。出版業界では著者、編集者、取材先など、多様な関係者の連絡先を扱うため、被害の影響範囲が広がりやすいという特徴があります。
「スミッシング」攻撃の巧妙な手口を解剖
スマホのSMSを使ったフィッシング攻撃である「スミッシング」は、なぜこれほど効果的なのでしょうか。現場での調査経験を基に、その巧妙な手口を分析してみます。
心理的な隙を突く巧妙なメッセージ
攻撃者が使用する典型的なメッセージパターンには以下があります：
- 「アカウントに問題があります」- 緊急性を演出し、冷静な判断を阻害
- 「配達に関する重要なお知らせ」- 日常的なやり取りを装い警戒心を解く
- 「セキュリティ強化のため確認が必要」- 正当性を装って行動を促す
これらのメッセージに共通しているのは、受信者の不安や焦りを煽り、冷静な判断力を奪うことです。
社用スマホを狙う理由
攻撃者が社用スマホを特に狙うのには明確な理由があります：
- 高い情報価値：企業の連絡先、機密情報へのアクセス権
- 組織への影響力：一人の被害から組織全体への攻撃に発展
- 金銭的価値：企業情報は個人情報より高値で取引される
フォレンジック調査で見えてきた被害の実態
実際のフォレンジック調査を通じて、スミッシング被害の実態が明らかになってきます。
情報流出の範囲と影響
iCloudに保存された情報への不正アクセスが発生すると、以下の情報が危険にさらされます：
- 連絡先情報（名前、電話番号、メールアドレス）
- 写真・動画（機密文書の写真なども含む）
- 書類・メモ（会議資料、契約情報など）
- 位置情報（行動パターンの把握）
特に建設業や出版業のように、多くの外部関係者との連携が必要な業界では、被害の波及効果が深刻になりがちです。
今すぐできる効果的な対策
では、個人や企業はどのような対策を講じるべきでしょうか。CSIRTでの対応経験を基に、実践的な対策をご紹介します。
個人レベルでの基本対策
1. 多要素認証の徹底
AppleIDには必ず多要素認証を設定しましょう。これだけで、パスワードが漏洩しても不正アクセスを大幅に防げます。
2. 信頼できるセキュリティソフトの導入
アンチウイルスソフト
を導入することで、フィッシングサイトへのアクセスを事前にブロックできます。特にスマホ対応の包括的なセキュリティ対策は必須です。
3. VPNによる通信の暗号化
外出先での通信ではVPN
を使用し、通信を暗号化することで中間者攻撃のリスクを軽減できます。
企業レベルでの包括的対策
1. 社用端末の一元管理
MDM（モバイルデバイス管理）ソリューションを導入し、社用スマホのセキュリティポリシーを統一しましょう。
2. 定期的なセキュリティ教育
従業員への継続的なセキュリティ教育が重要です。実際のスミッシング事例を使った訓練が効果的です。
3. Webサイトの脆弱性対策
企業サイトが攻撃の踏み台にされないよう、Webサイト脆弱性診断サービス
を定期的に実施し、脆弱性を事前に発見・修正することが重要です。
被害に遭ってしまった場合の緊急対応
万が一、フィッシング被害に遭った場合の対応手順をご説明します。
immediate Response（即座の対応）
- パスワードの即座変更：AppleIDのパスワードを直ちに変更
- デバイスの確認：「設定」→「サインイン」で不審なデバイスがないか確認
- 二要素認証の確認：設定が変更されていないか確認
被害拡大防止対策
- 関係者への連絡：連絡先にアクセスされた可能性がある場合は、関係者に注意喚起
- 法的対応の検討：個人情報保護法に基づく届出が必要な場合の準備
- フォレンジック調査の実施：被害範囲の正確な把握
今後の脅威動向と対策の進化
スミッシング攻撃は今後さらに巧妙化することが予想されます。AI技術の悪用により、より自然で説得力のあるメッセージが生成される可能性があります。
だからこそ、技術的な対策だけでなく、「疑う習慣」を身につけることが重要です。緊急性を謳うメッセージほど、一度立ち止まって冷静に判断することが被害防止の鍵となります。
まとめ：今すぐ始められる防御戦略
Apple偽SMSによるスミッシング攻撃は、個人・企業を問わず深刻な脅威となっています。しかし、適切な知識と対策があれば、被害を大幅に軽減することができます。
重要なのは：
- 多要素認証の徹底実装
- 包括的なセキュリティソリューションの導入
- 継続的なセキュリティ教育
- 被害発生時の迅速な対応体制
サイバー攻撃は「もし」ではなく「いつ」発生するかの問題です。今すぐできることから始めて、大切な情報を守りましょう。
