iPhoneの“構成プロファイル”って何？　安易にインストールを許可してない？

　宅配荷物の不在通知を偽装した不正なSMSが届いた――そのような報道や話を聞いたことはありませんか？　宅配業者を偽装した不正SMSによるサイバー攻撃は、2019年に入ってからも継続して確認しており、その手口は巧妙になっています。

2019年4月に確認された偽装SMSの例

　トレンドマイクロでは、このような不正SMSから誘導されるサイトの中に、アクセスした端末のOSを判定し、OSによって表示内容を変化させる巧妙なサイバー攻撃を確認しています。

　その1つに、Androidの場合には最終的に不正アプリをダウンロードさせ、iOSの場合には、不正な“構成プロファイル”のインストールの誘導を行うものがあります。構成プロファイルとは、iOSの各種設定を自動的に行うための仕組みのことです。

　確認したiOS向けに表示された不正サイトでは「ネットワークセキュリティのアップグレード」と称して、不正な構成プロファイルをインストールさせ、端末やSIMカードの固有情報、OSバージョンや製品情報が攻撃者の元に送信される仕組みになっていました。

iOSの場合に誘導される不正サイトの表示例

不正な構成プロファイルのインストール時に、iOSが表示する確認の例

　構成プロファイルは携帯電話事業者や一般企業などでiPhoneの設定を一括して行うために使用されている便利な機能です。しかし、サイバー犯罪者はこれを悪用し、iPhoneの操作を不自由にさせる、不正アプリをインストールさせるなどの活動を行った事例があります。

　iPhone利用者に対し、有名企業やサービスを詐称するメールやSMSを利用し、不正なサイトへ誘導する手口は常とう手法となっています。SMSから誘導されたサイトで、構成プロファイルのインストールの表示がされた場合には安易にインストールを許可せず、必ず正当性の確認を行ってください。また、誘導先サイトのURLが該当企業の正規URLであるかどうかの確認を徹底しましょう。

　不正サイトのリンクが含まれるSMSやメールが届かないよう、フィルタリングしたり、サイトのブロックを行うセキュリティソフトを導入することも対策の1つです。