iCloudアカウンが乗っ取られた

発端は偽のSMSから

私ではなく妻のiCloudアカウントをやられてしまいました。
以前より、偽のアマゾンやら通販サイトの詐欺メールが来ていましたが、その都度「これは本物？」と妻は私に確認してきました。
私は会社の管理SEが本業なので、常日頃社員の貸与スマホ等にくる詐欺メールやらの注意喚起やら、それらを元に家族にも日頃から注意するように目を光らせていました。
しかしついに妻がひっかかってしまいました。警察官の妻がオレオレ詐欺にひっかかったような感じです。

ただ妻の名誉のために擁護するなら、日頃４歳のパワフル息子に振り回されてかなり集中力が切れていたのも事実です。そう、日頃から警戒している人ほど、ほんの些細なことで引っかかってしまうのです。

さて、SMSで来たメッセージは佐川の再配達を語るものでした。
昨今のコロナ事情で通販も多くなり、加えて２世帯なので玄関は普段違うので配達も別なのですが、まれに義両親の荷物もこちらに来ることがあります。そういう事情も重なって、突然に荷物配達は結構頻繁にありました。
そこで妻は普段なら警戒するURLを踏んでしまったのです。

なぜかApple IDを要求される

リンクの先には偽のAppleを語る、そっくりに作られたログイン画面がありました。
まずそこで「安全ではありません」という表示が出てたにも関わらず、それを見落とします。Appleっぽい画面です。しかし、実際には本物のサイトとは全然違います。
そこでIDとパスワードを入れてしまいますが、認証の時点でなんと信頼する電話番号まで入れてしまいました。

完全にアウトです。

ちなみに本物のiCloudのサイトであれば、指紋認証やFaceIDでログインすることが可能です。そのような画面が出てこない時点で怪しいサイトです。

iPhoneから「iCloudパスワードを入れてください」というメッセージがあり、ログインを試みますが入れません。
そう、既に偽サイトに入力した時点でパスワードが変更されてしまい、iPhoneがiCloudからログアウトしてしましました。妻はその時点でも気が付かず、私に「iCloudに入れなくなった」と相談。
SMSからのリンクを踏んだという時系列を聞き、ぎょっとしました。

初動

まず妻のiCloudアカウントは私のファミリープランに入っているため、即ファミリープランから削除しました。
家族のアルバムがあるためです。

パスワードが不明の場合の「信頼出来る電話番号での認証」も、すでに犯人に変更されていて、見たこともないような番号の一部が表示されています。
妻にはAppleへの電話をしてもらい、対策をしてもらうように指示しました。同時にクレジットカードの停止と再発行もすることに。その時点では不正使用などは確認されませんでした。

Appleの対応

Apple側もこのような場合の対応はよくあるのか、色々と手際よく説明されました。
まず、Apple IDは新しく作り直す必要があること。しかし、本体のアクティベーションの問題があるので、そのままではiPhoneの初期化をしても、以前のApple IDを要求されることになる。それなのでiPhoneが本人の購入物なのか、本人確認が必要になるため、購入元（キャリア）から購入証明書を発行してもらう必要がある、ということ。
そしてそれらの情報をAppleが確認の後、アクティベーションを解除した上で本人に連絡、そこでやっと新しいApple IDでiPhoneの再セットアップが可能になるということでした。
それに要する期間は30日前後かかるということでした。

単純に新しいApple IDを作っても、iPhoneのアクティベーションは出来ないのです。下手をすると文鎮になります。
現状ではiCloudが外れているだけので、再起動や電源を落とさなければ、定期的に「ログインしてください」というメッセージを無視すれば、iPhoneを使うことは可能。Appleがアクティベーション解除してくれるまで待つのみ。

しかし、これには注意が必要です。乗っ取られたあとに、犯人がパスワード変更せずにこっそりログインしていた場合、最悪iPhoneをロック、または遠隔初期化されてしまう可能性があります。

2021年時点の他の記事などでは、元のApple IDを取り戻すまでに３ヶ月、その間は新しいApple IDを作ってそれでiPhoneを初期化して使う、ということが書かれていたものありましたが、妻が２回に渡りAppleに確認したところ、「元のApple IDは取り戻せない」「新しいApple IDもApple側でアクティベーション解除しなければ、作っても手持ちのiPhoneではアクティベーション認証出来ないので使うことが出来ない」ということでした。

用意するもの

まずはキャリアに対して、iPhoneの購入を証明する書類を発行してもらわねばなりません。購入はキャリアの公式ネット通販でしたが、近所のキャリアショップでその場で発行して貰うことが出来ました。
それをAppleが指示したサポートページから、証明書の写真をアップロードします。
あとはAppleからアクティベーション解除の連絡と、初期化から再セットアップまでの書類も一緒に自宅に郵送するということでした。

見落としていたこと

ホッとしていたのもつかの間、妻がメモアプリに各種サイトのIDとパスワードを保存していたことがわかりました。
メモアプリはメモに個別にパスワードロックをかけることが出来ますが、未ロックで保存していたということ。
慌てて、そこに書かれているサイト全てのパスワードを変更するように指示しました。
幸い、それらのパスワードは全て変更することができ、被害が拡大することはありませんでした。

懸念される事態は？

iCloudにアクセスされたということは、位置情報、メモアプリの内容、iCloudメール、写真、連絡先の内容がほぼ確実に漏れたということです。
Appleに連絡した時点でApple IDはロックがかかっているので、犯人側も既に見ることは出来ないハズですが、それまでの間にどこまでの情報を抜き取られたのかということです。
妻のスマホには子供の写真が大量にありました。自宅の住所もバレたでしょう。登録していた連絡先の住所や電話番号に対して、詐欺を働く可能性もないとは言えません。
とにかく悪用されることが無いように祈るだけです。

まとめ

アクティベーション解除申請まではしましたが、まだ再セットアップするまでは時間がかかりそうです。
たったひとつ、iCloudのアカウントが乗っ取られるだけで、とてつもない被害に合うということが今回身にしみてわかった事例です。
日頃どんなに注意していても、何度も来る詐欺メールはちょっとしたミスを誘発させることで、警戒心の高い人間すら餌食にしていきます。

「自分は日頃注意しているから大丈夫」

これが一番ミスを生みやすいと、実際の管理業務でも実感しています。
私はルールを自分で決めています。

• サイトにログインする場合は「必ずブックマークした正規サイトのリンク」を使う
• URLが暗号化されているか確認する（鍵マークが付いている）
• サービスに第２認証設定があれば必ず設定しておく
• ログインボタンを押す前に今一度確認する

面倒な手順かもしれませんが、この面倒くささがかえって自分を安全にしてくれるということです。
この件に関しては、再度Appleからの連絡がきて、新しいApple IDを取得するところまで行きましたら、続報記事を書きたいと思います。