スパイウェアから身を守る

ドクシングが心配なら、「デジタルセキュリティの基本」チェックリスト →にあるステップを済ませておくのがおすすめです。

ドクシングの標的になった場合、その多くが、あなたのアカウントやデバイスに誰かがアクセスしようとするのを防いでくれます。

「基本」チェックリストの中でも、特に大切なのは次の項目です：

• ほとんどのアプリで位置情報の追跡をオフにする
• パソコン、スマホ、アプリに最新のソフトウェアアップデートをインストールする
• **パスワードマネージャーパスワードマネージャーアカウントごとに固有の強いパスワードを作成・記憶してくれるアプリ。覚えておくのはマスターパスワードひとつだけでよい。アカウントごとにパスワードが別々になるので、どこかのサイトがハッキングされても、攻撃者がそのパスワードを他の場所で悪用することはできなくなる。詳しくはこちら：セキュリティの基本**を使う
• 弱いパスワードや複数のサイトで使い回しているパスワードがあれば、今使っているパスワードを変更する。
• 重要なアカウントで**二要素認証2要素認証（2FA）ログイン時の追加ステップ。パスワードを入力したあと、別の方法でもう一度本人確認を行う。認証アプリ認証アプリ二要素認証用のログインコードを生成するスマホのアプリ。攻撃者に傍受されるおそれのあるテキストメッセージでコードを受け取るより安全。Ente Auth や 1Password はこの機能に対応している。詳しくはこちら：セキュリティの基本の6桁のコード、テキストメッセージ、場合によってはパスキーパスキーパスワードに代わる新しいログイン方法。スマホやパソコン、パスワードマネージャーがアカウント用の秘密鍵を保存し、顔認証や指紋、パスコードでロックを解除する。パスワードを直接入力しないので、フィッシングサイトに盗まれることがなくなる。セキュリティキーは似た仕組みで、差し込んだりタッチしたりして使う物理デバイス。詳しくはこちら：EFFなど。家に入るのに鍵と暗証番号の両方が必要なようなもの。たとえパスワードを盗まれても、二つ目のステップなしではアカウントに侵入できない。詳しくはこちら：セキュリティの基本**を有効にする
• 怪しいリンクはクリックしない

OSのアップデートが出るたびに、セキュリティホールが修正されています。インストールしていないアップデートが増えるほど、警察があなたのデバイスをハッキングできる手段も増えていきます。鍵のかかっていないドアがどんどん増えていく、大きな建物を想像してみてください。

OSが最新の状態でなければ、このガイドで紹介している他の対策の多くも、あなたのデータを守れません。

まずはスマホから始めましょう。リスクの高い活動をする場合は、すべてのデバイスをアップデートしておきましょう。

スパイウェアは高度な攻撃の一種で、私たちのデバイスにある巧妙な脆弱性を悪用します。これに対抗するため、AppleとGoogleはスパイウェアへの防御を強化する高度なセキュリティモードを導入しています。

iPhoneではロックダウンモード、Androidでは高度な保護機能プログラムと呼ばれています。 （Androidスマホを持っていなくても、Googleアカウントだけで高度な保護機能プログラムを有効にすることもできます。）

Appleのロックダウンモードをオンにしていたのにスパイウェアに感染した、という報告はまったくありません。 Androidの高度な保護機能は比較的新しく、その効果はまだ実証されていません。

Citizen Labの調査で、日常的に使うアプリやウェブサイトに表示されるターゲティング広告を通じてスパイウェアが送り込まれていたことがわかりました。広告が読み込まれるだけでデバイスが感染してしまいます。広告を目にしていなくても、クリックしていなくても、です。

広告をブロックすれば、この侵入経路をふさげます。さらに、警察やデータブローカーが広告ネットワークを通じてあなたの位置情報を追跡するのも難しくなります。

ICEをはじめとする警察機関が位置追跡ツールを使っていることがわかっています。これらのツールは、スマホが発信する「広告ID」に部分的に依存しています。こうしたツールは、社会運動の弾圧によく使われています。

広告IDは、広告経由で送り込まれるスパイウェアの標的選びにも使われてきました。

iPhoneでは、この機能はデフォルトで無効になっています。 Androidではデフォルトで有効になっているので、無効にする必要があります。

Apple、Googleなどのサービスは、アカウントやデータを狙った標的型攻撃から守るための追加のセキュリティ機能を提供しています。これらが守るのは各社のオンラインアカウントで、デバイスそのものではありません。

Appleの「高度なデータ保護」を使うと、ほとんどのコンテンツでエンドツーエンド暗号化エンドツーエンド暗号化自分と会話の相手だけがメッセージを読める暗号化暗号化パスワードやパスコードなど、鍵を持つ人だけが読めるように情報をスクランブルすること。それ以外の人には、暗号化されたデータはランダムで判読不能な文字列にしか見えない。詳しくはこちら：EFF Surveillance Self-Defenseの形式。アプリの運営会社も読めないので、警察に求められたとしても提出できるものはなにもなくなる。ただし、誰といつやり取りしたかは通常隠せないし、ロックが解除された端末やハッキングされた端末上のメッセージは守れない。詳しくはこちら：EFF Surveillance Self-Defenseが有効になります。

スパイウェアは、あなたを狙って、つい開かずにはいられないように作り込まれたリンク付きのメッセージやメールで届くことがよくあります。これはただのスパムではありません。あなたにとって一番大切なものにつけ込む、あなたを狙い撃ちにした攻撃です。

スパイウェアのメッセージは、特定の人を狙い撃ちにしていることがあります。 Pegasusスパイウェアが実際に使われた例をいくつか紹介します：

「カルメンへ　弟が事故で亡くなりました。とても辛いです。葬儀の情報を送ります。来てもらえたら嬉しいです：[スパイウェアのリンク]」（出典）

USEMBASSY.GOV/ あなたのビザに問題が見つかりました。至急大使館までお越しください。詳細を見る [スパイウェアのリンク]（出典）

LX 1955 BCN-ZRH 26Jun2020 - リンクをクリックしてモバイル搭乗券を受け取ってください [スパイウェアのリンク]（出典）

注意： スパイウェアの中には、リンクをクリックしなくても感染させる攻撃（「ゼロクリック攻撃」）を使うものもあります。たとえば、WhatsAppの不在着信として現れることもあります。

泥棒に家へ侵入されにくくしたいなら、簡単な方法のひとつはドアの数を減らすこと。デバイスの中では、アプリひとつひとつが外の世界への「ドア」の役割を果たしていて、攻撃を受けるリスクを高めてしまいます。アプリにバグや脆弱性があると、デバイス全体が危険にさらされることがあります。

過去にスパイウェアに悪用されたアプリの例：

• Apple HomeKit + FindMy + iMessage
• Apple カレンダー

メッセージにリンクを貼ると、多くの場合「リンクプレビュー」が自動で表示されます。目には見えなくても、実はあなたのデバイスがプレビュー画像を取得するために、そのウェブページにアクセスしています。そのウェブページが悪意のあるものだった場合、高度な攻撃者にあなたの位置情報を特定されたり、最悪の場合はスマホにスパイウェアを仕込まれたりするおそれがあります。

すでにスパイウェアに感染している場合、カメラやマイクにアクセスされて、デバイスをリアルタイムで監視される可能性があります。監視する側に見られるものを減らすために、少なくともインカメラはふさいでおくのがおすすめです。

自分の活動スタイルに合うなら、リスクの高い活動専用に別のスマホやパソコンを用意することも検討してみてください。

詳しくはサブのスマホのチェックリストをチェックしてください。

その場合でも、すべてのデバイスでセキュリティ対策を忘れずに行いましょう。機密性の高いやりとりやデータが入っているのが片方のデバイスだけでも、どちらのデバイスもスパイウェアの標的になる可能性があります。どちらからも、あなたの位置情報など、攻撃者が狙う個人情報がわかってしまうからです。 **GrapheneOS**に対応したスマホを選ぶのもひとつの手です。 GrapheneOSは、Google Pixelで動作する、セキュリティとプライバシーを重視したAndroidベースのOSです。

ほとんどのスパイウェアは、デバイスにファイルを一切書き込まないことで痕跡を隠そうとします。そのため、デバイスを再起動すれば、スパイウェアはひとまず消える可能性が高いです。とはいえ、まだ標的にされている場合は、相手がすぐにまたスマホを感染させようとしてくる可能性が高いです。感染の中には、リンクをクリックする（または何らかの操作をする）ことで起こるものもあれば、ユーザーが何も操作しなくても起こるものもあります。つまり、スマホをこまめに再起動すれば攻撃者にとって手間を増やすことはできますが、それでスパイウェアから確実に逃れられるわけではありません。