iOSのUSB制限モードの脆弱性とリスクの評価（iOS 18.3.1のアップデート）

ロックされたiPhoneからUSB接続でデータを取り出せることがある脆弱性が見つかりました。
この問題は、iOS 18.3.1のセキュリティ・アップデートで修正されました。
物理的なUSB接続での不具合なので、不特定多数への攻撃では悪用しにくいと考えられますが、早めのアップデートが推奨されます。

セキュリティのニュースはたくさんあるけど、結局こまめなアップデートと日ごろの注意が一番大事なんだね。

1. iOSのアップデートをしないと危険？

iOS 18.3.1が出て、ネットニュースを見ていたら、「既に特定の個人が攻撃受け悪用された」「ロックされた端末の〜」と書かれていました。

アップデートしない端末はやられてしまうのでしょうか？

「iOS 18.3.1」配信開始　「非常に高度な攻撃に悪用された可能性がある」脆弱性に対処
対処する脆弱性「CVE-2025-24200」は、物理的な攻撃により、ロックされた端末のUSB制限モードが無効になる可能性があるというもので、この問題が特定の個人を標的とした非常に高度な攻撃に悪用された可能性があるとしている。
「iOS 18.3.1」配信開始　「非常に高度な攻撃に悪用された可能性がある」脆弱性に対処（ITmedia Mobile）

前提として、セキュリティ・アップデートは速やかに実行した方が良いです。
ただし、「アップデートしない端末はやられてしまうか？」という質問には、
「そういう可能性もあるが、必ずそうなるわけでもない」が答えになります。

（参考）

About the security content of iOS 18.3.1 and iPadOS 18.3.1 – Apple Support（2025-02-10）
ASCII.jp：iOS 18.3.1配信開始　USB制限モードが無効になる高度な攻撃に対処するためのバグ修正（2025年2月12日）
「iOS 18.3.1」配信開始　「非常に高度な攻撃に悪用された可能性がある」脆弱性に対処（ITmedia Mobile）（2025年2月12日）
「iOS/iPadOS 18.3.1」が登場、すべてのユーザーに推奨 – ケータイ Watch（2025-02-13）

煮えきらない回答ですが、これは複数ある要因の一つだからです。
ポイントは「標的型攻撃」と「多層的セキュリティ」。

目次に戻る

2. APTの要因を一つずつ潰している

セキュリティを考えると、つい心配ばかりが先に立ちます。
しかし、「現実的なリスク評価」という観点も重要です。

対処する脆弱性「CVE-2025-24200」は、物理的な攻撃により、ロックされた端末のUSB制限モードが無効になる可能性があるというもので、この問題が特定の個人を標的とした非常に高度な攻撃に悪用された可能性があるとしている。
「iOS 18.3.1」配信開始　「非常に高度な攻撃に悪用された可能性がある」脆弱性に対処（ITmedia Mobile）

「特定の個人を標的にした非常に高度な攻撃」というのは、Appleの公式発表では「an extremely sophisticated attack against specific targeted individuals¹」です。

これは、「APT（高度で執拗な標的型攻撃：Advanced Persistent Threat）」を指した言い回しです。
このタイプのサイバー攻撃は「綿密な計画や実行の手間がかかる」ので、不特定多数に実行できるものではありません。

また、APTは、様々な脆弱性や心理的な隙を組み合わせた攻撃手法という点が特徴です。
この組み合わせの一つのピースとして悪用された脆弱性が、今回修正されたということなのです。

「技あり」みたいなもので、これだけで「一本！」というわけではないんだね。

目次に戻る

2-1. 「USB制限モード」とその脆弱性とは？

具体的にはどこに問題が見つかったの？

「USB制限モード（USB Restricted Mode）」とは、iPhoneがロックされてから1時間経過すると、USB接続を通じたデータ通信を無効化する機能です。

通常 iPhoneをパソコンにつないだ場合、データ転送や通信をするにはロックを解除して、アクセスを許可する必要があります。

つまり、物理的にiPhoneを盗まれたときに、内部のデータを保護するセキュリティなのです。

ちなみに

従来のパソコンでは、接続されたUSBポートを介したデータアクセスを制限する仕組みは標準では実装されていませんでした。
現在のパソコンでは内部のデータを保護するため、「BitLocker暗号化」という機能などがあります。

あまり意識していなかったけど、iPhoneやAndroidスマートフォンは、昔のパソコンのイメージよりも安全な設計なんだね。

Windowsのシステムを修復しようとしたらBitlocker暗号化されていた【Dell Vostro 15-3568の事例（２）】

起動できなくなったPCを修復するために、USBメモリの回復ドライブから起動しました。しかし、内蔵HDDが暗号化されていてアクセスできません。タブレットからMicrosoftアカウントにアクセスして「回復キー」を見つけると、やっと修復作業に取り掛かることができました。最近のパソコンのデータ保護は強固なんだね。もし、MicrosoftアカウントのID・パスワードを控えてなかったら、手も足も出ないところだったんだ。◆ 前回はこちら。内蔵HDDがBitlocker暗号化保護されている...

目次に戻る

2-2. 攻撃にはUSB接続が必要

今回の脆弱性は、「本人がロックを解除していないのに、USB制限モードが解除されてしまう不具合があった」ということになります。
攻撃者は、盗んだ iPhone のロック解除を試みる攻撃ツールを作って、内部のデータを勝手に抽出しようとするからです。

「特定の標的を狙った高度な攻撃に利用された形跡がある」ということなので、標的のiPhoneを盗んでパソコンにつないだり、偽の充電器などにつながせたりして、誤動作を引き起こす信号を送って情報を盗んだと考えられます。

ただし、今回の脆弱性（CVE-2025-24200）は、iPhone の USBポートに物理的に接続しないと攻撃できないタイプです。
インターネット通信からは遠隔攻撃できるわけではありません。

有効な対策　

iOS 18.3.1にアップデートする
信頼できない充電器やUSBポートを使わない
盗まれないように iPhoneを管理する

知らない場所で充電しない方がよいのは、こういうリスクがあるからなんだね。

目次に戻る

3. セキュリティ・アップデートは地道な営み

「セキュリティ・アップデート」は、地道な営みです。
それは、サイバー攻撃の悪用されそうな不具合（脆弱性）を一つずつ潰し続ける作業だからです。

この作業は、航空機事故の対策にたとえると、少しイメージしやすいかもしれません。
一度、航空機事故が発生すると、さまざまな原因の調査が行われます。
部品の整備だけでなく、運行スケジュールの決定や管制とのやり取りの仕方など、さまざまな要因が複合して事故に至ります。
その中で、今後の事故を減らすために、オペレーションを見直したり、チェック項目を増やしたり、といった改善策を決めます。

こういった改善は、しなかったからといって急に飛行機がどんどん事故になるわけでもないですし、逆に改善したから飛行機事故がゼロになるわけでもないです。
現代の航空機は、すでにこれまでの教訓で安全性を高められています。
それでも、問題が発生するたびに繊細なシステム改善を重ねているわけです。

むしろ、このような些細に見える改善の積み重ねで、安全性が向上してきました。

目次に戻る