DarkSword iPhone 仮想通貨窃盗攻撃キットの脅威と日本企業が取るべき対策

公開日：2026年11月6日文：クリスタルメソッド編集部監修：河合継（代表取締役）

DarkSwordとは何か――iPhoneを無操作で制圧する攻撃キットの全容

2026年3月18〜19日、セキュリティ企業GTIG・Lookout・iVerifyの3社が同時に分析を公表し、「DarkSword」と呼ばれるiPhone向け攻撃キットの存在が明らかになった（BleepingComputer）。同年10月8日にはiVerifyが新変種「P7 DarkSword」を公表し、同月21日にはInstagram広告経由の感染事例も確認された（iVerify・Report URI、ichizenholdings.co.jp）。

DarkSwordの最大の特徴は、被害者が何も承認しなくても資産が奪われる点にある。従来のフィッシング型攻撃では「偽サイトへの誘導→ウォレット接続→取引承認」という手順が必要だった。DarkSwordは異なる。iOS 18.4〜18.7の未修正端末において、SafariでURLを開くだけで攻撃が成立しうる構造をとる。ユーザーはいかなる承認操作も行わない。署名は攻撃者自身の端末で完結するため、被害者のアクション履歴には何も残らない（coinpost.jp）。

技術的には6件のCVE（CVE-2025-31277ほか）を連鎖利用するエクスプロイトチェーンで構成される。窃取対象はキーチェーン全体、MetaMask・Trust Wallet・Coinbaseを含む主要ウォレットのデータ、写真、メモに及ぶ（BleepingComputer、rocket-boys.co.jp）。シードフレーズをメモアプリや写真として保存している利用者は、端末が侵害された時点で事実上すべての資産を失うリスクがある。

図1：DarkSwordの攻撃フロー。被害者がSafariでURLを開くだけでCVEチェーンが発火し、ウォレットデータが窃取される。被害者側に承認・署名操作は一切発生しない（対象：iOS 18.4〜18.7未修正端末）。

DarkSword iPhone 仮想通貨窃盗が示す脅威の本質――手口の構造的転換

2026年11月5日、オンチェーン分析企業Bitqueryは、DarkSwordとの関連が疑われる資金移動分析を公表した。TRON上の365ウォレットから、2026年10月5日〜11月4日（UTC）の調査期間中に約406万ドル相当のUSDTが移動したとされる。ただしBitquery自身が明示しているとおり、全損失がDarkSword起因とは確認されていない（coinpost.jp）。この数字は疑惑の規模感を示すものとして参照するにとどめ、確定被害額として断定することは現時点では適切でない。

重要なのは手口の構造的転換だ。従来のフィッシング・ソーシャルエンジニアリングは「人の判断ミス」を狙う。DarkSwordはOSの脆弱性を直接突くため、いかに慎重なユーザーであっても未修正端末では防ぎようがない。「不審なリンクを踏まないよう」という利用者教育だけでは対処が困難であり、これが企業にとっての最大のリスクとなる。

さらに見過ごせないのは、Instagram広告経由の感染事例が公表されていることだ（iVerify・Report URI、ichizenholdings.co.jp）。広告配信プラットフォームが感染経路として機能した場合、エンドユーザーへのリテラシー教育だけでは実質的に対処が困難になる。企業がMDM（モバイルデバイス管理）によってiOSバージョンを管理していない場合、この種のゼロクリック型攻撃に対して組織として無防備になりうる。

次に読む：AIハッキングの日本・世界の主な被害一覧は？

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜11月】

日本企業・利用者にとっての具体的リスクと注意点

日本においても、MetaMask・Trust WalletといったDarkSwordの窃取対象となるウォレットの利用者は少なくない。Web3系スタートアップ、NFT・ゲームトークンを扱う事業者、取引所アプリを業務端末にインストールしている担当者は影響を受けやすい層と考えられる。しかし脅威はそこにとどまらない。キーチェーンに保存された業務用SaaSのパスワードもDarkSwordの窃取対象であり、仮想通貨と無関係な一般的な企業ユーザーもリスク下にある。

以下に、DarkSword iPhone 仮想通貨窃盗攻撃キットが標的とする対象と対応優先度を整理する。

表1：DarkSwordの窃取対象と日本企業における対応優先度
窃取対象	具体的なデータ	日本企業での主なリスク	対応優先度
キーチェーン	保存済みパスワード全般	取引所・業務SaaSへの不正アクセス	高
仮想通貨ウォレット	MetaMask / Trust Wallet / Coinbase他	資産の即時流出（回復不能）	高
写真・メモ	シードフレーズのスクリーンショット等	二次的な全ウォレット制圧	高
業務アプリ認証情報	キーチェーン経由のアプリログイン情報	社内システム・クラウドへの横断侵害	中〜高

制約として正直に記しておく。iOS 18系の修正は18.7.7（一部は18.7.3）で重要な保護が提供されるが（rocket-boys.co.jp、ichizenholdings.co.jp）、企業のMDM環境によっては即時アップデートの適用が難しい場合もある。MDMポリシーが旧iOSを前提としている場合、アップデート適用と動作検証のコストが発生する。また、iOSアップデートが物理的に不可能な旧機種を業務で使い続けている場合は、GTIGが推奨するロックダウンモードの有効化が次善策となるが、この措置はSafariの一部機能・添付ファイル・FaceTimeなどを制限するため、業務への影響を事前に評価したうえで適用を判断する必要がある。

日本の現場で今すぐ取るべき実務的な対応

DarkSword iPhone 仮想通貨窃盗攻撃キットへの対処は技術的には明確だ。ただし、組織の実態に合わせた優先順位付けが重要になる。

第一優先：iOSバージョンの即時確認と更新。iOS 26.3でDarkSwordの既知脆弱性チェーンはすべて修正されている（rocket-boys.co.jp、ichizenholdings.co.jp）。iOS 18系を使用している場合は18.7.7以上への更新が推奨される。企業のIT管理者は、MDMを通じて管理下端末のiOSバージョンを一括確認し、未更新端末の特定を最優先で進めるべきだ。

第二優先：シードフレーズの保管ポリシーの見直し。写真・メモ・クラウドストレージ（iCloud含む）へのシードフレーズ保存を明示的に禁止する。すでに保存している場合は、端末の更新状況にかかわらず新しいシードのウォレットへの資産移動を検討する。端末が侵害された可能性がゼロでない以上、既存のシードを継続利用することにはリスクが残る。

第三優先：取引所・業務SaaSアカウントのパスワード変更。キーチェーンにパスワードを保存していた取引所・SaaSアカウントについては、iOS未更新期間中に不審なサイトを開いた可能性がある場合、パスワードを変更し、二要素認証の設定を確認する。

旧機種・更新不可端末の扱い。GTIGはiOSアップデートができない端末に対してロックダウンモードの有効化を推奨している。業務への影響を事前に評価したうえで適用を判断する。

DarkSwordは「仮想通貨ユーザーだけの問題」ではない。キーチェーンに業務用SaaSのパスワードを保存するごく一般的なiPhone利用者もリスク下にある。日本企業のセキュリティ担当者は、この攻撃キットを暗号資産関連のニッチな脅威として扱わず、MDMポリシー・端末バージョン管理・パスワード保管ルールの再点検の契機として活用することが実務的な判断となる。攻撃の手口がOSの脆弱性を直接突く方向へ転換しつつある以上、「教育と注意喚起」に依拠した従来型の対策は構造的な限界を持つことを経営・IT責任者は認識しておく必要がある。セキュリティ分野全般の技術動向についてはクリスタルメソッドブログでも継続的に解説している。

〈参考文献〉

BleepingComputer「DarkSword iPhone exploit kit analysis」https://www.bleepingcomputer.com/
coinpost.jp「iPhone攻撃キット『DarkSword』、仮想通貨窃盗に悪用か」https://coinpost.jp/
rocket-boys.co.jp「P7 DarkSword・iOS修正状況の解説」https://rocket-boys.co.jp/
ichizenholdings.co.jp「DarkSword Instagram広告感染事例・iOS修正情報」https://ichizenholdings.co.jp/