Macを人質にとって身代金を要求する手口が、Twitterで複数報告されています。
寝ている間にMacがロックされ、解除するために50ドル相当のビットコインを要求してくるという手口で、よくあるランサムウェアではなく、iCloud.comの普通の機能を利用したもの。なので、マルウェア対策を行っていても被害にあう可能性があります。
報告によると、Apple IDの2段階認証設定を行っていても無駄だったということです。
一体どういうことなのでしょうか？
通常、Apple IDの2段階認証をしている場合、ログインしようとすると、上のように6桁の確認コードの入力が求められます。この確認コードは、登録してあるiPhoneなどに送信されるので、確認用のデバイスを持っていない第三者は認証で弾かれてログインできないという仕組みになっています。
ですが・・・これには抜け道がありました。
iCloud.comの「iPhoneを探す」だけは確認コード無しで使える
・・・ということです。
実際に試してみました。
iPhoneを探すのURL「https://www.icloud.com/#find」 に直接アクセス。
Apple IDとパスワードを入力してログインした所、2段階認証の確認コードの通知がきました。ここで「許可しない」を選択。
普通はこれでアクセスが遮断されるはず・・・だと思ったら、下の画面。
「iPhoneを探す」「設定」「Launchpad」の項目にはロックがかかっていません。
「設定」と「Launchpad」を開こうとすると2段階認証の確認コードを求められましたが、「iPhoneを探す」の機能は全て使えました。
- 全てのデバイスの所在地の確認
- iPhoneでアラート音を流す
- iPhoneの紛失モード
- iPhoneの内容を消去する
- Macでアラート音を流す
- Macをロックする
- Macを消去する
つまり、Apple IDとパスワードが知られている場合は、2段階認証を設定していてもMacを人質にされたりiPhoneを消去される危険性があるということ・・・ですね。
今回のような被害を防止するには？
Macを人質にとられないためには、まずApple IDとパスワードを相手に知られないことが重要です。SNSなどでメールを公開している場合、そのメールアドレスはApple IDに使わないこと。パスワードは強度の高いパスワードを利用すること。
あとは、「Macを探す」を無効にするのが一番手っ取り早い対策法。
システム環境設定 > iCloud からMacを探すのチェックを外します。
これで遠隔操作される心配は無くなりました。
便利・多機能になればなるほど、セキュリティは低下します。
少しくらい不便な方が安心できていいかもしれませんね。
So a hacker gained access to my iCloud account (despite two-factor authorization) while I was asleep this morning.
— Jason Caffoe (@jcaffoe) 2017年9月20日
- Source Jovanさんのツイート
- Via Mac Rumors
