セルビアの学生運動メンバーのiPhoneに「Pegasus」感染、iMessageのゼロクリック脆弱性が悪用

要点

• セルビアの学生抗議運動メンバーが所有するiPhoneが、NSO Group製の高度なスパイウェア「Pegasus」に感染していたことが専門機関の調査で判明した。

• 攻撃にはAppleのiMessageを標的としたゼロクリック脆弱性が使用され、2025年12月から2026年1月にかけての感染が確認されている。

• 悪用された脆弱性に対しては、Appleが2025年4月にリリースした「iOS 18.4.1」ですでに対処が行われている。

• セルビア国内では2026年初頭以降、学生や野党議員など少なくとも14人がスパイウェアの標的となっており、警察の押収端末にAndroid向けスパイウェアが仕込まれた事例も報告された。

• セルビアで展開されている学生抗議運動のメンバーが所有するiPhoneが、イスラエルのサイバー企業NSO Groupが開発したスパイウェア「Pegasus（ペガサス）」に感染していたことが明らかになった。カナダのトロント大学に拠点を置く研究機関Citizen Labと、セルビアの権利擁護団体SHARE Foundationが共同で実施した調査結果を、海外セキュリティメディアのThe Hacker Newsが2026年9月3日に報じた。

iMessageのゼロクリック脆弱性を突いた攻撃

Citizen Labの発表によると、今回の端末感染にはAppleのメッセージング機能「iMessage」におけるゼロクリック脆弱性が悪用されていたという。ゼロクリック脆弱性とは、標的となったユーザーが不審なリンクをタップしたりファイルを開いたりする操作を行わなくても、メッセージを受信するだけで端末を不正侵入させることができる脆弱性を指す。

フォレンジック調査では、2025年12月から2026年1月にかけての期間に感染していたことを示す高い信頼度の指標が確認された。Citizen Labは、これ以外の時期にも追加で感染していた可能性を排除できないとしている。

この攻撃で悪用されたiMessageのゼロクリック脆弱性については、Appleが2025年4月に公開したセキュリティアップデート「iOS 18.4.1」において修正が完了していると評価されている。今回の調査結果の公表は、Appleが「傭兵スパイウェア（mercenary spyware）」による攻撃の標的になった疑いのあるユーザーに対し、世界110か国で一斉に脅威通知（Threat Notifications）を送信した直後の出来事となった。

地方選挙を挟んで少なくとも14人が監視の標的に

SHARE Foundationの確認によると、セルビア国内では2026年初頭以降、少なくとも14人が高度なスパイウェア攻撃の標的になったことが判明している。監視の対象となった人物には、学生運動の参加者や市民活動家のほか、国会議員や野党に所属する地方議会の議員などが含まれていた。

一連のインシデントが発生した時期は、2026年3月29日に実施されたセルビアの地方選挙の期間と重なっていた。標的型攻撃はiOS端末にとどまらず、Android端末を狙った事案も発生している。

別の学生運動メンバーのケースでは、警察による取り調べの際にスマートフォンを押収された後、Android向けスパイウェア「NoviSpy」の最新バージョンが端末内にインストールされていたことが確認された。

アムネスティ・インターナショナルのSecurity Lab責任者を務めるDonncha Ó Cearbhaill（ドンチャ・オ・カービル）氏は、「SHAREによるフォレンジック結果は、セルビアの学生が当局に拘束されている間にインストールされた侵入型Androidスパイウェアの標的になり続けている事実を証明している」と指摘している。さらに同氏は、2026年の最新事例において、従来のNoviSpyと機能面で類似しながらも、セキュリティ専門家による検知を回避するための特別な工作が施された新型のAndroidスパイウェアが確認された点についても言及した。

私的メッセージが生放送で流出、監視技術の乱用が表面化

SHAREの報告によると、同様の新型スパイウェアは2台目の端末からも検出されている。この端末から流出した通信アプリ「Viber」の非公開メッセージは、セルビアの親政府系テレビ局「Informer TV」の生放送中に公開される事態となった。

セルビア国内では、デジタルフォレンジックツール大手のCellebrite社製ツールを利用してNoviSpyを展開するなど、監視技術が悪用された事例が相次いで記録されており、今回の件もその一連の流れにおける最新の事例とされている。

各社が提供する高度セキュリティ保護機能

こうした標的型サイバー攻撃のリスクに直面しているユーザーに対し、セキュリティ研究者は端末のオペレーティングシステムを常に最新の状態へ更新することや、iOSに搭載されている「ロックダウンモード」の有効化を検討することを求めている。

また、Googleは社会的立場や職務の性質上サイバー攻撃の標的になりやすいAndroidユーザー向けに「高度保護プログラム（Advanced Protection Program）」を提供している。さらに、Meta傘下のWhatsAppも2026年1月に「Strict Account Settings」機能を発表した。同機能は、連絡先に登録されていない人物からの添付ファイルやメディアの受信を自動的に遮断するなど、アカウントのセキュリティ設定を最も制限の厳しい状態へ一括で引き上げる保護策を提供している。