モバイル端末を狙う「スパイウェア（Pegasus等）」とBring Your Own Device（BYOD）

背景と概要

スマートフォンやタブレットは、メール閲覧、チャットツール、多要素認証（MFA）のワンタイムコード受領など、業務に不可欠なデバイスとなりました。これに伴い、会社から支給された端末だけでなく、従業員個人のスマートフォンを業務に利用する「BYOD（Bring Your Own Device）」を採用する企業も増えています。

しかし、モバイルOS（iOS/Android）の脆弱性を突き、ユーザーに一切の操作をさせずに端末を完全に監視下におく高度な「高度標的型スパイウェア（PegasusやPredatorなど）」や、不正なモバイルアプリを経由した企業データ窃取のリスクが議論されています。

モバイル端末特有のセキュリティ脅威と「ゼロクリック攻撃」

モバイル端末はPCと異なり、ユーザーが不審な挙動に気づきにくい構造を持っています。

1. ゼロクリック（Zero-Click）攻撃

ユーザーが不審なリンクをクリックしたりファイルを開いたりしなくても、iMessageやWhatsAppなどのメッセージ受信処理に含まれる脆弱性を突くことで、背景でサイレントにスパイウェアを感染させる手口です。ユーザーの注意だけでは防ぐことができません。

2. マイク・カメラ・位置情報・MFAの強奪

高度なスパイウェアに感染すると、端末のマイクやカメラがリアルタイムで盗聴器化し、GPSによる位置情報の追跡、さらにはMFA（多要素認証）アプリで生成されたコードや認証プッシュ通知が直接奪取されます。

3. 個人利用アプリからのデータ漏えい（BYODリスク）

BYOD環境において、従業員がプライベートでインストールしたゲームやユーティリティアプリが悪質なマルウェアを含んでいた場合、同じ端末内にある業務用データやクリップボードの情報が読み取られるリスクがあります。

モバイルセキュリティにおける実務課題

従業員の個人所有端末（BYOD）に対して過度な監視ツール（MDM等）を導入しようとすると、個人のプライバシー侵害であるとして従業員からの反発を招くという摩擦が生じます。

モバイル脅威に対抗するための管理・技術アプローチ

プライバシーに配慮した「コンテナ化」と、最新OSの維持が求められます。

1. MAM（モバイルアプリケーション管理）による「業務領域の分離（コンテナ化）」

BYOD環境においては、端末全体を監視するMDMではなく、業務用アプリ（TeamsやOutlook等）とそのデータのみを暗号化された隔離領域（コンテナ）で管理するMAM（Microsoft Intune等）を導入します。これにより、プライベート領域のプライバシーを守りつつ、業務データの社外流出を防ぎます。

2. モバイル向けEDR（MDR）や防衛モードの活用

高リスクな役員やジャーナリスト等の端末には、iOSの「ロックダウンモード」の有効化や、モバイル向けEDRソリューションを導入し、異常通信や脱獄（Jailbreak）状態を即座に検知します。