ジェフ・ベゾスCEOのiPhoneはサウジアラビア皇太子によってどのようにハッキングされたのか？

by JD Lasica

2020年1月、イギリスの日刊紙であるThe Guardianが「Amazonのジェフ・ベゾスCEOのiPhoneが、サウジアラビア皇太子によってハッキングされた可能性がある」と報じ、国を巻き込んだスキャンダルとなりました。そんな中、「サウジアラビア皇太子が仕掛けたベゾスCEOのiPhoneに対するハッキング」に関する調査レポートをテクノロジー系メディアのMotherboardが入手し、レポートの内容について報じています。

Here Is the Technical Report Suggesting Saudi Arabia's Prince Hacked Jeff Bezos' Phone - VICE
https://www.vice.com/en_uk/article/v74v34/here-is-the-technical-report-suggesting-saudi-arabias-prince-hacked-jeff-bezos-phone

ベゾスCEOのiPhoneがハッキングされていたという疑惑は、2019年に報じられたベゾスCEOの不倫スキャンダルに関連した調査により浮上したもの。The Guardianは匿名の人物からの情報として、サウジアラビアのムハンマド・ビン・サルマン皇太子がベゾスCEOに送った悪意のあるファイルにより、ベゾスCEOのiPhoneから大量のデータが盗まれたと報じています。

Amazonのジェフ・ベゾスの携帯電話から情報が抜き取られたきっかけはサウジアラビア皇太子からのメッセージだった可能性 - GIGAZINE

by Gilles Lambert

ムハンマド皇太子はソフトバンクのビジョン・ファンドに多額の出資を行っている政府系ファンドで会長を務めている人物で、2018年に発生したジャーナリストのジャマル・カショギ氏の暗殺事件に関連していたとされています。

ソフトバンクの孫正義ファンドでタッグを組むサウジ皇太子が暗殺命令か、実行部隊を捉えた監視カメラのムービーも - GIGAZINE

Motherboardが入手したレポートは、アメリカのビジネスアドバイザリーであるFTIコンサルティングが作成したもの。レポートを作成した調査員は、ベゾスCEOのiPhoneを調査するために専用のラボを設置して2日間調べたそうで、iPhoneのiTunesバックアップ暗号化を回避するためにiPhoneの設定をリセットして工場出荷時の状態に戻し、暗号化されていないデータを入手したとのこと。しかし、調査員はiPhoneからマルウェアを検出することはできなかったとのこと。

その一方で、2018年5月1日に「通信に関するアラビア語のプロモーションムービー」に見える疑わしいムービーファイルが、メッセージアプリのWhatsAppを通じてムハンマド皇太子からベゾスCEOへ送信されていたことが判明しました。

実際にムハンマド皇太子からベゾスCEOに送られたメッセージのスクリーンショットが以下。サウジアラビアとスウェーデンを示すサムネイルが確認できるムービーファイルは、WhatsAppが提供するエンドツーエンドの暗号化によって「暗号化されたダウンローダー」として送信されており、ムービーファイルそのものにマルウェアのコードが埋め込まれていたかどうかは確認できなかったそうです。

調査員がこのムービーファイルまたはダウンローダーを疑わしいと判断した理由は、ベゾスCEOのiPhoneがこのダウンローダーを実行した直後に、iPhoneから大量のデータが送信され始めたためです。レポートによると、WhatsAppで暗号化されたダウンローダーを実行する以前、ベゾスCEOのiPhoneが送信するデータ量は1日あたり平均で430KBでした。ところが、WhatsAppでムービーファイルをダウンロードしてから数時間後、送信データ量は126MBに跳ね上がったとのこと。

レポートでは、「ムハンマド皇太子から送信された暗号化されたダウンローダーを実行した後、デバイスの出力はすぐに約2万9000％も増加しました」と指摘されています。iPhoneから送信されるデータ量はその後も数カ月間にわたって高いままであり、平均して1日あたり101MBのデータを送信していたそうです。

by Rawpixel

調査員はベゾスCEOのiPhoneやその他の大規模な調査結果を総合した結果、ムハンマド皇太子の友人であり、メディアコンサルタントとして活動したサウード・アル・カータニ氏が調達したツールを介して、ベゾスCEOのiPhoneがハッキングされたと報告しています。カータニ氏はムハンマド皇太子と同様にカショギ氏暗殺に関わったといわれているほか、サイバーセキュリティーやプログラミング分野を管轄するサウジアラビアの国家機関であるSAFCSPの会長を務めていた人物でもあります。

The Guardianはハッキングツールの調達源について、イスラエルのテクノロジー企業であるNSOグループによって開発された可能性があると示唆しましたが、レポート内ではNSOグループのツールが使用されたとは言及されていません。レポート内では、「NSOグループの『Pegasus』やハッキングチームの『Galileo』といった高度なモバイルスパイウェアは、デバイスの正当なアプリケーションやプロセスに接続して検出を回避し、アクティビティを難読化して、最終的にデータを傍受または流出させることができます」と指摘されているだけです。

また、大量のデータがベゾスCEOのiPhoneから送信されていたことに加え、ムハンマド皇太子からベゾスCEOへ送られたメッセージの中に不審なものも発見されました。以下の写真は2018年11月8日にムハンマド皇太子がベゾスCEOに送ったもので、写真に映った女性はベゾスCEOと親しい関係にあったローラン・サンチェス氏と似ています。しかし、この写真が送信された時点でベゾスCEOとサンチェス氏との関係は公になっておらず、ムハンマド皇太子がこの写真をベゾスCEOに送信したことは奇妙だとのこと。

今回の調査ではベゾスCEOのiPhoneに含まれる全てのデータを分析したわけではなく、ファイルシステム全体までは調査していないとのこと。調査員もレポートの最後にベゾスCEOのiPhoneをジェイルブレイク(脱獄)してルートファイルシステムを分析する必要があると指摘し、未調査のファイルからマルウェアが検出できる可能性があると認めています。