iPhoneの重大リスクをロシアのセキュリティ企業「Kaspersky」が発見するもAppleが報酬の支払いを拒否
2023年にロシアに拠点を置くセキュリティ企業にKaspersky(カスペルスキー)がiPhoneの脆弱(ぜいじゃく)性「Operation Triangulation」を発見しました。AppleはKasperskyの報告を受けて脆弱性を修正しましたが、記事作成時点でも脆弱性発見に対する報奨金が支払われていないことが明らかになっています。
Apple отказалась выплатить «Лаборатории Касперского» $1 млн за найденную «дыру» в iPhone
Apple refused to pay bounty to Kaspersky for uncovering vulnerability in 'Operation Triangulation' - 9to5Mac
https://9to5mac.com/2024/06/09/security-bite-apple-refused-to-pay-bounty-to-kaspersky-for-uncovering-vulnerability-part-of-operation-triangulation/
Kasperskyは2023年6月にiOSに存在する脆弱性「Operation Triangulation」を発見したことを公表しました。Operation Triangulationは「攻撃対象にiMessageを送信するだけでiPhoneのマイクやカメラで記録した機密データにアクセスできる」というもので、Kasperskyは2023年11月や2024年1月にも続報を発表して危険性を周知していました。Operation Triangulationについては、以下の記事にまとまっています。
iMessageを送信するだけでiPhoneの機密データにアクセスできるゼロデイ脆弱性「Triangulation」の詳細が公開、秘密のハードウェア機能が利用されていたことも明らかに - GIGAZINE
Appleは、2023年6月にOperation Triangulationを修正するアップデートをリリースしました。アップデートのリリースノートにはKasperskyの研究者の名前が記されており、AppleもKasperskyの貢献を認めています。
Appleは脆弱性の報告者に対してリスクの大きさに応じた報酬を支払う報奨金プログラムを実施しています。報奨金ページを確認すると、Operation Triangulationのような「ユーザーの操作を介さずに攻撃を実行できる脆弱性」には最大100万ドル(約1億5700万円)の報奨金が支払われると記載されています。しかし、Appleは内部ポリシーを理由にKasperskyへの支払いを拒否しているとのこと。
AppleがKasperskyへの支払いを拒否している具体的な理由は不明です。また、アメリカの連邦通信委員会(FCC)はロシアによるウクライナ侵攻開始直後の2022年3月に、Kasperskyを「国家安全保障と米国人の安全に容認できない脅威をもたらし得る『対象機器・サービス』のリスト」に追加していますが、Kasperskyは「当社は民間企業でありロシアを含むいかなる政府とも関係がない」とする声明を発表してFCCの決定を非難しています。
米国連邦通信委員会（FCC）の告示に関するカスペルスキーの声明 | カスペルスキー
https://www.kaspersky.co.jp/about/press-releases/2022_bus28032022
なお、Kasperskyのロシア・CISユニット長のドミトリー・ガロフ氏によると、Kasperskyでは社用端末として2023年からiPhoneの代わりにAndroidスマートフォンを配備しているとのこと。ガロフ氏はAndroidスマートフォンを採用した理由について「Androidではセキュリティ要素を細かく管理可能であり、サイバー攻撃への対処が容易である」と説明しています。
◆フォーラム開設中
本記事に関連するフォーラムをGIGAZINE公式Discordサーバーに設置しました。誰でも自由に書き込めるので、どしどしコメントしてください！Discordアカウントを持っていない場合は、アカウント作成手順解説記事を参考にアカウントを作成してみてください！
• Discord | "AppleはKasperskyに報奨を支払うべきだと思う？" | GIGAZINE(ギガジン)
https://discord.com/channels/1037961069903216680/1249648744375259196
