セキュリティ企業iVerifyが、iPhone向けスパイウェアの新変種「P7 DarkSword」を発見した。このマルウェアは感染した端末から暗号資産ウォレットを探し出し、イムトークン（imToken）のデータを抽出する機能を持つ。
10月8日に公開された調査報告によると、P7はデフォルトで15秒ごとに攻撃者のサーバーと通信し、遠隔で指示を受け取ることが可能だ。暗号資産の盗難はまだ確認されていないが、モバイルウォレット利用者にとって新たな脅威となる。
この記事では、P7 DarkSwordの具体的な仕組み、Appleがすでに施した対策、利用者が取るべき防御策を解説する。
発見の経緯と概要
iVerifyが8月の感染から発見
iVerifyは2026年8月に検出した感染を調査し、10月8日に調査結果を公開した。対象は「DarkSword」と呼ばれるiPhoneのエクスプロイトフレームワークの変種で、社内指定は「P7 DarkSword」だ。
DarkSwordはこれまで複数の監視活動で使用されてきた攻撃基盤で、今回は暗号資産ウォレットに特化したコマンドが追加されている点が特徴となる。
この変種が意味するもの
今回の発見が示すのは、モバイルウォレット利用者への新たなリスクだ。攻撃者はウォレットアプリ自体の脆弱性を突くのではなく、端末そのものを乗っ取ることで機密情報へアクセスする。
要するに、ウォレットアプリが安全でも、そのアプリが動くiPhoneが侵害されれば中身のデータを抜かれる可能性があるということだ。
暗号ウォレットを狙う機能の詳細
wallet_scanとwallet_extract
iVerifyの技術調査によると、P7には暗号資産関連の情報を特定して収集する2つの専用機能が含まれている。
1つ目はwallet_scanで、感染端末内にインストールされているウォレットアプリを検索する。攻撃者はこれを使って、どのアプリが入っているかを把握し、標的を絞り込む。
2つ目はwallet_extractで、複数のブロックチェーンをサポートするウォレット「imToken」に関連するデータを収集する設計だ。この2つのコマンドを組み合わせることで、攻撃者は暗号資産ユーザーを特定し、ウォレット関連のファイルを回収できる。
Keychainやメモ、写真も標的に
P7の標的はウォレットアプリだけではない。AppleのKeychain（パスワードや認証情報を保存するシステム）にも焦点を当てている。
以前のDarkSword変種はKeychainのデータベースをコピーして攻撃者のサーバーへ転送していた。一方、P7は感染端末上でKeychainの情報をJSONファイルに変換してから送信する方式に変更されている。
この変更により、攻撃者のサーバーに届いた時点で即座に使える形の認証情報になる可能性が高まる。加えて、Apple Notesのデータベース、写真、特定のアプリファイルも収集対象だ。
ここで注意したいのは、回復フレーズやウォレットの認証情報をメモアプリや写真に保存しているケースだ。そうした情報がP7によって抜かれると、資金を不正に動かされる恐れがある。
なお、ウォレットファイルを取得したりアプリの存在を確認したりしただけでは、秘密鍵の制御までは自動的に確立されない。不正な送金が可能になるかどうかは、マルウェアがどの情報を実際に取得できたか次第だ。
15秒ごとの遠隔操作
P7の大きな変更点は、遠隔操作能力の拡張にある。事前に決められた収集手順だけを実行するのではなく、デフォルトで15秒ごとに攻撃者管理のサーバーへ接続し、感染端末で実行する指示を要求する。
攻撃者はこの間隔を調整でき、特定のファイルを検索したり、追加の収集活動を開始したりすることも可能だ。端末を再度侵害する必要はない。
さらに検出を難しくする改良も確認されている。診断ログの削除、プロセスインジェクションの回数削減、ブラウザストレージを使った再感染防止などだ。これらは感染端末を不安定にせず、長期間にわたって情報を集め続けるための工夫とみられる。
Appleの対策とDarkSwordの進化
Googleが3月に報告した脅威
DarkSwordは今回が初出ではない。GoogleのThreat Intelligence Groupは2026年3月、DarkSwordが6つの脆弱性を組み合わせ、iOS 18.4から18.7の一部を搭載するiPhoneを侵害していたと報告している。
当時のキャンペーンには商用監視ベンダーや国家支援の疑いがある攻撃者が関与し、サウジアラビア、トルコ、マレーシア、ウクライナのユーザーが標的になった。悪意あるWebコンテンツを通じて端末を侵害し、暗号資産ウォレットデータを含む個人情報や金融情報を抽出するソフトウェアを展開していた。
最新iOSでの防御状況
P7は、侵害が成功した後に展開されるスパイウェアの進化形だ。新しい脆弱性が確認されたわけではないという点は重要である。
Appleはすでに、文書化されたDarkSwordのエクスプロイトチェーンに関連する脆弱性を修正している。同社のセキュリティアドバイザリによると、関連する保護は2025年に初めて提供された。その後、2026年3月24日にiOS 18.7.7をリリースし、4月1日には古いOSを使うユーザー向けにも保護を拡大した。
iVerifyの10月の調査では、P7が最新のiOSセキュリティ更新をバイパスできるかどうかは確認されていない。どの修正済みバージョンが依然として脆弱かについての変種別の評価も公開されていない。
Appleは最新の互換ソフトウェアのインストールと自動更新の有効化を推奨している。Googleの以前のDarkSword調査でも、更新できない場合のロックダウンモード利用が推奨されていた。
ユーザーが取るべき対策
公式の推奨策
まず実行したいのは、iPhoneを最新のiOSに更新することだ。Appleのセキュリティ修正はDarkSword関連の既知の脆弱性を塞いでいる。自動更新をオンにしておけば、新しい修正版が公開された際に速やかに適用される。
端末の更新が難しい場合は、ロックダウンモードの利用を検討する。これはiPhoneの機能を制限して高度な攻撃への露出を減らす仕組みで、Googleの調査でも推奨されている。
暗号資産保有者のための追加対策
P7はモバイルウォレット利用者を直接狙う。暗号資産を持っている人は、以下の点にも気を配りたい。
- 回復フレーズや秘密鍵をメモアプリや写真に保存しない
- スマートフォンのウォレットには日常利用分だけを置き、大きな資産はハードウェアウォレットで保管する
- 不審なリンクやWebサイトにアクセスしない
- 端末の挙動、バッテリー消耗、通信量の急な変化に注意する
- アプリは公式ストアからのみインストールする
現時点で暗号資産の盗難は確認されていないが、認証情報やメモ、写真が収集されるリスクは明らかだ。P7 DarkSwordは、端末そのものを守ることの重要性を改めて示している。
この記事のポイント
- P7 DarkSwordは暗号資産ウォレットをスキャンし、imTokenのデータを抽出する機能を持つ
- 15秒ごとに攻撃者のサーバーと通信し、遠隔操作が可能
- 暗号資産の盗難はまだ確認されていないが、認証情報やメモ、写真の収集リスクは高い
- Appleは関連する脆弱性を修正済み。最新iOSへの更新が最優先の対策
- 回復フレーズをメモアプリや写真に保存しないなど、利用者側の対策も必要
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。