高柳ヤヨイ|次世代デザイン

【パスワード変更が効かない乗っ取り】 今回はGoogleアカウントを乗っ取られた後の話です 覚えの無い端末をログアウトさせても、パスキーと2段階認証を入れていても、また乗っ取られるパターンです 全員がそうなる訳でも、パスキーが破られた訳でもありません 相手の入る方法が1つでも残っていると、こうなる事があります 残りやすい所と、やる順番を書きます 今は無事な人も、その時の為に順番だけ知っておいてもらうか、このポストを保存しててもらえればと思います このポストは、何度パスワードを変えても相手に乗っ取られる、という別のポストを見たので、困ってる人がいるのではと思い書きました その人に実際どのような事が起きているのかは、外からは分かりません なので、Googleのヘルプと発表を元に、考えられる理由と推測、そして対策まで並べます ▼相手に経路が残りやすい所 ・ログアウトされない端末 パスワードを変えると、他の端末はログアウトされます まぁ、これで全員追い出せる、と思いますよね ただ、ログインの時の本人確認に使う端末などはログアウトされない、とGoogleのヘルプに書いてあります ログインの時に、本人かどうかの確認が届くスマホなどの事だと思います 相手の端末がこれに当たるかまでは、分かりませんが、本人確認に使う端末になっているのかもしれません ・相手が作ったパスキー パスキーは、パスワードの代わりに、端末の指紋や顔、画面ロックでログインする仕組みです パスキーを作った端末は、ログアウトした後でも、その端末のロックを外せる人ならまた入れます（Googleの説明） 相手にパスキーを作られていると、端末をログアウトさせただけでは、また入られるおそれがあります ・2段階認証の方法 相手の電話番号や認証アプリが残っていると、パスワードを知られた時に、2段階認証で止められません バックアップコード（スマホが使えない時用の、使い切りのコード）を見られていた場合も同じです ・再設定用の電話番号とメールアドレス パスワードを忘れた時に、確認のコードが届く宛先です 相手の宛先を足されていると、相手もパスワードを決め直せるおそれがあります 直した後も、変更後7日間は、前の宛先にコードが送られる事がある、とGoogleは書いてます 他の人が勝手にアカウントを使おうとした時に、持ち主がすぐ守れるように、という説明です ただ、相手の宛先を消した時にも当てはまる可能性があります その場合、消した後も7日間は、相手にコードが届くかもしれないので、気を抜けません ・Gmailの転送とフィルタ フィルタは、届いたメールを自動で振り分けたり消したりする設定です 自分で作っていない転送先やフィルタがあると、Googleからの警告メールに気付けなかったり、メールが相手にも届いたりする事があります ・使っている端末 有害なソフトウェア（ウイルスなど）が入った端末でログインすると、ブラウザが覚えている「ログイン済み」の情報を盗まれる事があります そうなると、相手はパスワードや2段階認証の確認を通らずに入れます（Chromeの開発チームの説明） その端末で何度パスワードを変えても、また盗まれるおそれがあります ▼乗っ取られた時にやる順番 まだログインできる人向けです 先に1つだけ、私の考えです 端末の感染が疑わしい人と、どちらか分からない人は、普段使っている別の端末（スマホなど）からやってください 開くのは、Googleアカウントの「セキュリティとログイン」です スマホなら、Gmailのアプリの右上にある自分のアイコンから、Googleアカウントの管理の画面に行けます 項目の名前は、Googleのヘルプの書き方に合わせてます（11月11日に確認） ① すぐにパスワードを変える Googleは、他のサービスのパスワードも変えるよう書いてます 同じパスワードの所、そのメールアドレスで登録やログインをしている所、Googleにパスワードを保存している所です ② 「お使いのデバイス」で、覚えの無い端末をログアウトさせる ③ 「パスキーとセキュリティ キー」で、自分で作っていないパスキーを消す Androidのスマホは、ログインした時にパスキーが自動で作られる事があります その分は、②のログアウトで消す形です（Googleの説明） ④ 2段階認証の方法から、覚えの無い電話番号や認証アプリを消す バックアップコードも作り直します 新しいセットを作ると、古いセットは使えなくなります ⑤ 「再設定用の電話番号」と「再設定用のメールアドレス」を、自分の物か確認して、もし違う場合は直す （自分の物でも、今までとは違う物にするのがベストかなと思います） ⑥ アカウントにアクセスできるアプリから、覚えの無い物を外す 「Googleでログイン」などで、アカウントとつないだ他社のアプリやサービスの事です ⑦ Gmailのフィルタ・転送・委任（自分のGmailを見られる人）から、覚えの無い物を消す パソコンでGmailを開いて、設定の「フィルタとブロック中のアドレス」と「メール転送と POP/IMAP」を見ます ⑧ 端末を調べる ウイルス対策ソフトで調べて、Chromeに覚えの無い拡張機能があれば消します それでも入られ続けるなら、最悪パソコンを出荷時の状態に戻す（初期化する）事も考えます（Googleも挙げてます） ①と②の順番は、Googleが書いている通りです（逆の意見も見かけますが、どちらが先でも、続けて両方やります） ③から⑧もGoogleの説明に出てくる項目で、並べ方は私が独断で決めてます あと3つ、これも私の考えです ・①から⑦は、間を空けずに一気にやる 1つでも残っていると、そこから戻ってこられるおそれがあります 途中で相手に変え返されたら、次の「ログインできなくなった時」に進みます ・再設定用のメールアドレスにしている別のメールも、パスワードを変えておく そのメールに相手が入れると、再設定のコードを相手も受け取れます ・終わった後も7日間は、「最近のセキュリティ イベント」（ログインや設定変更の記録）を毎日見る 落ち着いたら、Google PayやChromeに保存したカードに、覚えの無い購入が無いかも見てください（Googleの手順にも載ってます） ▼ログインできなくなった時 Googleのアカウント復元のページから進めます（リンクは、このポストのリプ欄に置きます） ・気付いたら、すぐに試す 相手に宛先を書き換えられていても、さっきの7日間の決まりで、元の自分の宛先にコードが届く事があります ・普段使っている端末と場所からやる 感染が疑わしい端末は避けて、普段使っているスマホなどからです ・質問は飛ばさない 答えがはっきりしない時も、一番近いと思う物を入れるよう、Googleは書いてます ・1回で通らなくても、もう一度試す 「復旧を手伝います」という返信やDMには、絶対に乗らないでください Googleは、アカウントの復旧をうたうサービスとは一切提携していない、と書いてます ログインについての電話の問い合わせにも対応していない、とも書いてます パスワードと確認コードは、誰にも渡さないでください ▼今のうちに見ておく所 無事な人は、ここだけ見ておいてください ・「お使いのデバイス」に、覚えの無い端末が無いか ・「パスキーとセキュリティ キー」に、自分で作っていない物が無いか 私も前に一度、この一覧を見ましたが、自分の物しかありませんでした ・再設定用の電話番号とメールアドレスが、今も使える自分の物か 乗っ取られた時に、取り返す宛先になります 他の設定の見直しは、以前ポストしたので、そちらを見てください ▼来そうな質問に先に答えておきます 「パスワード変更の効果が無いなら、変えなくていい？」 → 変えてください Googleも、すぐに変えるよう書いてます ただ、変えるだけだと、相手の経路が残ったままになる事があります 変えた後に、上の②から⑦も続けてやってください 「パスキーや、高度な保護機能を入れれば大丈夫？」 → 入られにくくはなります ただ、パスキーを足しても、パスワードや再設定用の情報は消えずに残ります（Googleの説明） 高度な保護機能（ログインにパスキーなどが要る設定）も、相手のパスキーが残ったままだと、相手も入れるおそれがあります 先に、相手の経路を全部消してください ▼まとめ ・乗っ取られた後は、パスワードを変えただけでは足りない事がある ・パスワードを変えても、ログアウトされない端末がある ・端末をログアウトさせても、相手のパスキーが残っていると、また入られるおそれがある ・宛先を直しても、7日間は前の宛先にコードが届く事がある ・やる時は、感染の心配が無い端末から、間を空けずに全部 ご家族でGoogleアカウントを持っている方がいれば、一緒に見てあげると被害を事前に防げると思います 皆様ご安全に

【iPhoneのアプリが、他のアプリの中身を読める】 今、あなたのiPhoneにApp Store以外から入れたアプリがありますか？ あるかどうかが、今の所、自分が当てはまるかの決め手です ある人は、そのアプリが悪意のある物だった時、他のアプリの中身を読まれるおそれがあります 無い人も、最新のiOSでまだ直っていない話なので、読んでおいてください 攻撃が起きた、という話ではありません 他のアプリの中身を読める方法が、11月9日に公開された段階です 攻撃や被害の報告は、私が確認した範囲ではありません（11月11日時点） 11月10日にBinance（仮想通貨の取引所）が警告を出して、320万回以上表示されてます まぁ、取引所の名前で回ってくると、仮想通貨の人だけの事に見えますよね でも、読まれるおそれがあるのは、ウォレット（仮想通貨を保管するアプリ）に限りません 私のiPhoneにもウォレットのアプリが3つ入っているので、調べました 何が読まれるのか、誰が当てはまるか、最新のiOSで直ったのか、今やる事、の順に書きます 公開したのは海外の研究者で、iPhoneのサンドボックスを抜ける方法です（名前は worse_query） サンドボックスは、アプリが他のアプリのデータに触れないようにしている、iPhoneの仕組みです 研究者本人も、開発者向けの見本で、これだけでは役に立たないし、脱獄（iPhoneの制限を外す改造）とも関係ない、と説明してます ただ、この方法を組み込んだファイル管理アプリなどが、もう公開されてます 悪用が目的の物ではありませんが、同じ方法は誰でも使えます ▼読まれるおそれがある物 研究者の説明では、届くのは、他のアプリがiPhoneの中に保存しているデータです 読むだけでなく、書き換える事もできます（仮想通貨のセキュリティ会社 SlowMist の警告） Ostorlab（モバイルアプリのセキュリティ会社）は、ログイン状態の情報や、アプリの中の書類やデータを挙げてます ログイン状態の情報は、写されると、パスワードを知られなくても、そのアカウントに入られる事があります 仮想通貨を持っていない人のアプリも入ります 仮想通貨が目立つのは、警告を出したのが、BinanceとSlowMistだったからです それと、シードフレーズ（ウォレットを復元する言葉）は、読まれたら資産を動かされますし、パスワードのように後から変える事ができません ただ、SlowMistは、この欠陥だけで資産が盗まれる訳ではない、とも書いてます 危ないのは、ウォレットがシードフレーズなどを暗号化せずにiPhoneの中に置いている場合、という説明です 自分のウォレットがどう保存しているかは、使う側からは分かりません キーチェーン（パスワードなどを別に守って保存する、iPhoneの仕組み）の中身は読めない、という解説もあります ▼誰が当てはまるか 研究者が対象に挙げているのは、iOS 26.0〜26.7.2 と iOS 27.2 です 26.7.2 と 27.2 は公開した時点の最新で、その後に出たバージョンの事は、次の章に書きます iOS 18 以前は対象に挙がっていませんが、安全だという意味ではありません ・App Store以外から入れたアプリがある人 条件に当てはまるおそれがあります App Storeを通さずに、専用のツールや配布サイトから入れたアプリの事です（サイドロードと呼ばれます） そのアプリが安全かどうかは、使う側からは見分けにくいです ・App Storeのアプリしか入れていない人 今の所、危ないと示す報告は見当たりません ただ、Appleの審査でこの方法を止められるのかは、関係者の誰も明言していません（The Hacker News） 仮想通貨を持っているかどうかは、この分かれ目には入りません ▼最新のiOSで直ったのか iOS 27 の最新の 27.2.1 でも直っていない、と公開した本人が書いてます（11月10日の夜） 研究者のその投稿は、iOS 26 の最新の 26.7.3 には触れていません Appleは11月10日に iOS 27.2.1 と 26.7.3 を出しましたが、更新の説明に、この件だと分かる記載はありません 直っていない前提で動くのが安全です 27.2.1 にすれば止まる、という話も、海外の仮想通貨メディアが伝えてました 元の投稿をしたセキュリティ会社の人が、同じ日の夜に、そこは誤りだったと訂正してます 元の投稿は約3.9万回、訂正は約1,700回の表示です（11月11日の午後2時の時点） ▼今やる事 ① App Store以外から入れたアプリは、消すか、出所を確かめる Binanceは出所の信頼できないアプリを消すよう、SlowMistは出所の分からないアプリを入れないよう呼びかけてます 入れた覚えが無い人も、「設定」→「一般」→「VPNとデバイス管理」を開いて、覚えの無い開発元の名前が無いかは見てください 見つけたら、その開発元のアプリを消します（ここに出ない入れ方もあります） 会社や学校から渡されたiPhoneは、消す前に管理者に聞いてください ② iOSとアプリを最新にしておく 今の最新にしても、この件は直っていないと見ておいてください それでも、他の欠陥の修正は入ってます この件の修正が出たら、すぐ入れてください ③ App Store以外のアプリを入れていたiPhoneで、ウォレットを使っていた人は、作り直しを考える BinanceもSlowMistも、怪しいアプリを入れた事が無い端末で、新しく作ったウォレットに資産を移す事を挙げてます Binanceは、取引所などのログインを全部いったん切る事も挙げてます 私の場合は、App Store以外から入れたアプリは無いので、ウォレットは作り直していません iOSは 26 の最新（26.7.3）にしてあります ただ、26.7.3 で直ったという情報は、見つけられていません ▼来そうな質問に先に答えておきます 「リンクを押しただけで読まれる？」 → 公開されているのは、アプリとして入れて動かす形です リンクを開いただけで使えるとは、研究者の説明にも、BinanceやSlowMistの警告にも書かれていません ただ、サンドボックスを抜ける欠陥は、サイトを開くだけで入り込む別の欠陥と組み合わせて使われる事があります 今回その報告は見当たりませんが、iOSの更新は続けてください 「Binanceが書いた 26.7.1、27.0.1、27.2 以外なら大丈夫？」 → 大丈夫とは言えません その3つは、この方法を組み込んだアプリの1つが、動作を確かめたバージョンと同じ並びです ▼まとめ ・11月9日に、iPhoneで他のアプリのデータを読める方法が公開された ・攻撃や被害の報告は、私が確認した範囲では無い（11月11日時点） ・仮想通貨を持っていない人にも関わる（決め手は、App Store以外から入れたアプリがあるか） ・最新の iOS 27.2.1 でも直っていない、と公開した本人が書いている ・やる事は、App Store以外のアプリを見直す、iOSとアプリを最新にしておく App Store以外から入れたアプリが無いかだけ、今日のうちに見ておいてください 皆様ご安全に