2019年7月22日にAppleは「iOS 12.4」をリリースし、チャットアプリケーション「iMessage」の脆弱性を修正した。この脆弱性が悪用されると、デバイスが特定の文字列を受信した場合にクラッシュする恐れがある。たとえリセットしたとしてもデバイスを操作できなくなり、再び使える状態にするためには工場出荷状態に戻さなければならない。

　AppleがiOS 12.4のパッチで対処した脆弱性のうち半数は、攻撃者が任意のコードを実行できる状態にあった。そのほとんどは研究者によって発見されたもので、まだ悪用された形跡は見つかっていない。だが攻撃者は、パッチ未適用のシステムを標的としたマルウェアを開発するために、こうした脆弱性を利用することがしばしばある。

　企業セキュリティにとって、iOSのメリットの一つは、OSの更新を強制できる点だった。最近のiOSでは、組織で管理しているデバイスに最新バージョンのOSをインストールするまでに、管理者が最長90日間の猶予期間を設定できるようになった。これは、攻撃者も同じ期間内で未修正の脆弱性を悪用したマルウェア開発ができることを意味する。

　Appleは企業のモバイルデバイス市場で影響力を持つ。エンドユーザーがiOSデバイスに保存したデータを狙うことは、たとえ短期間しか攻撃が通用しないとしても、攻撃者にとって悪用コードの開発に労力を費やすだけの価値がある。OSアップデートのたびにテストが必要なカスタムアプリケーションを使っている組織でない限り、最新版のOSが公開されたら、できるだけ早くデバイスに配信するとよい。

チャットアプリケーションの脆弱性にも注意

　iOS用アプリケーションにも気を配る必要がある。セキュリティ意識が高い組織は、何らかのメール保護対策を講じ、フィッシング（詐欺）メールがエンドユーザーに届くのを阻止している。

　一般的なモバイルデバイス向けのチャット／ショートメッセージアプリケーションが採用している暗号化方式は、チャットやショートメッセージの送受信者のみが暗号化／復号のための鍵を持つ「エンドツーエンド」方式だ。この特性が、攻撃者に悪用され得る。攻撃者はショートメッセージアプリケーションを使い、組織が設置したフィッシング対策フィルタを通過することなく、エンドユーザーにスミッシング（ショートメッセージサービスを利用したフィッシング）のショートメッセージを送信したり、サードパーティー製アプリケーション経由でショートメッセージを送信したりできてしまう。エンドユーザーが悪質なリンクをクリックするまで、IT部門がフィッシングを検出できないこともある。

　モバイルデバイスやアプリケーション、コンテンツを統合管理する「エンタープライズモビリティー管理」（EMM）ツールは、デスクトップPCやノートPCの管理ツールと比べて、はるかに普及が遅れている。モバイルデバイスの包括的な管理とコントロールの欠如は、未保護のデバイスから情報を抜き取られる事態を招く。

　チャットアプリケーション「WhatsApp」は、2019年に入ってから以下のような脆弱性が判明している。

• 悪用すると、攻撃者が電話をかけるだけで、たとえ標的のエンドユーザーが電話に出なくても、デバイスにスパイウェアをインストールできる脆弱性。このとき、不在着信の通知も表示されない。
• 攻撃者がエンドユーザーのメッセージと識別情報を改ざん可能にする脆弱性。

　セキュアな企業用チャットアプリケーションも存在するが、コストや利便性を理由に、モバイルデバイスでWhatsAppの使用を許可している企業が少なくない。

　IT部門はEMMツールやデバイスをサイバー攻撃から保護する「モバイル脅威防御」（MTD）ツールを使うことで、これらの脆弱性が与え得る損害を緩和できる。ユーザー企業による脆弱性の早期発見およびパッチ適用を支援するため、Appleは開発中のモデルと同じiOSデバイスを提供し、バグ調査の協力を求める「iOS Security Research Device Program」を2020年に開始するという。加えて脆弱性やそれらの悪用を発見した人に対する報酬金を増額し、報酬金を請求できる対象者の範囲も拡大させた。