Appleは約束通り、リリースされたばかりのiOS 17.3に新しい盗難デバイス保護技術を組み込みました。この技術は、ウォール・ストリート・ジャーナルのジョアンナ・スターン記者とニコール・グエン記者がいくつかの記事と動画で明らかにした、特に厄介な攻撃に対するオプションの保護を提供します（「iPhoneパスコード盗難」シリーズをご覧ください）。
つまり、窃盗犯は肩越しに覗き見したり、盗撮したり、ソーシャルエンジニアリングを駆使したりして被害者のiPhoneのパスコードを見つけ出し、iPhoneを奪って逃走するのです。場合によっては、パスコードを聞き出すために、麻薬を投与したり、脅迫したり、暴行を加えたりすることもあります。その後すぐに、窃盗犯はパスコードを使って被害者のApple IDのパスワードを変更し、アカウントをロックアウトし、iPhone上のアプリやデータを利用して金銭を盗んだり、商品を注文したり、その他様々な方法で大混乱を引き起こします。
この攻撃が成功したのは、AppleがApple IDのパスワードリセットを、パスコードしか覚えていない人でも簡単に行えるようにしていたからです。Apple IDのパスワードを忘れてしまう人が多いため、Appleはセキュリティを多少犠牲にしてでも、忘れてしまったパスワードを簡単に復旧できるようにした方が良いと判断しました。また、Apple IDのパスワードをセルフサービスでリセットできるオプションを提供することで、Appleのカスタマーサービスの負担も軽減されたことは間違いありません。しかし、抜け穴やバックドアがあれば、犯罪者はいずれそれを見つけてしまいます。
幸いなことに、Appleは現在、iPhone向けの盗難デバイス保護機能でこのセキュリティホールを解消できるようにしています。iPadやMacでは利用できません。もちろんAppleは理由を説明していませんが、iPadについては2つの可能性が考えられます。iPadはiPhoneに比べて遅れることが多いため、Appleは将来のアップデートでこの機能を追加する予定かもしれません。あるいは、iPadユーザーが同様の標的になる可能性は低いとAppleが考えているのかもしれません。（報告されているiPhoneのパスコード盗難の多くは、被害者が注意を払っておらず、アルコールの影響を受けている可能性のあるバーで発生しています。）Macは、ログインパスワードの発見がさらに困難であることを考えると、標的になる可能性はさらに低いようです。
盗難デバイス保護をオンにすると、次のようなことが起こります。自宅、職場、あるいはデバイスベースの重要な位置情報システムによってiPhoneが頻繁に使用していると判断された場所など、いつもの場所にいるときは、すべてがこれまでどおり機能します。Apple IDのパスワードを変更したり、「探す」をオフにしたり、キーチェーンのパスワードにアクセスしたり、その他多くの操作を、新しい設定なしで行えます。
ただし、見知らぬ場所にいる場合は、アカウントやデバイスへの重要な変更を行うにはFace IDまたはTouch IDによる認証が必要となり、パスコードによる代替手段やフォールバックは利用できません。また、最も重要なセキュリティアクションを実行するには、2回目の生体認証を行う前に1時間の待機時間（カウントダウンタイマーで表示されます）が必要です。この待機時間により、攻撃者が暴力の脅迫で認証を強要する可能性が低減されます。
Apple によれば、次のような場合には、なじみのない場所で Face ID または Touch ID 認証を使用する必要があるとのことです。
- キーチェーンに保存されたパスワードまたはパスキーを使用する
- Safari に保存されている支払い方法を使用する（自動入力）
- 紛失モードをオフにする
- すべてのコンテンツと設定を消去
- 新しいApple Cardを申請する
- Apple Cardのバーチャルカード番号を表示する
- Wallet で特定の Apple Cash および Savings アクションを実行する (例: Apple Cash または Savings の送金)
- iPhoneを使用して新しいデバイスをセットアップする（例：クイックスタート）
注目すべきは、Apple Payを使った実店舗での購入ではiPhoneのパスコードが引き続き使用できることです。これは依然として、わずかな脆弱性として残っています。Appleは、店舗で支払いをしようとした際にFace IDやTouch IDが認証に失敗し、パスコードが使えなくなるのはあまりにも面倒だと考えたのでしょう。
生体認証に失敗した後、パスコードフォールバックで重要な位置情報をオフにすることもできますが、それでは生体認証を回避する方法として、よく使う位置情報が排除されるだけです。（Apple は盗難デバイス保護を使用するには重要な位置情報を有効にしなければならないと主張していますが、これは真実ではないようです。また、これを無効にしても盗難防止機能はオフになりません。）
Appleは、1時間のセキュリティ待機時間と2回目の生体認証が必要となる操作を明示しています。具体的には、以下の操作が含まれます。
- Apple ID のパスワードを変更します (Apple によると、これにより、しばらくの間、デバイスの位置情報が iCloud.com に表示されなくなる可能性があります)
- Apple IDからサインアウトする
- Apple ID アカウントのセキュリティ設定を更新する（信頼できるデバイス、回復キー、回復連絡先の追加または削除など）
- Face IDまたはTouch IDを追加または削除する
- iPhoneのパスコードを変更する
- すべての設定をリセット
- 「探す」をオフにする
- 盗難デバイス保護をオフにする
iPhoneがあなたがいつもの場所に移動したことを検知した場合、セキュリティ遅延は1時間経過前に終了することがあります。つまり、家に帰ればセキュリティ遅延を回避できるのです。
盗難デバイス保護をオフにするには、セキュリティ遅延と生体認証が必要となるため、iPhoneを売却、譲渡、または下取りに出す前には必ずオフにしてください。一度自分の物理的なコントロールから離れると、他人がリセットすることは不可能になります。
盗難デバイス保護をオンにする
盗難デバイス保護をオンにするのは簡単です。Face IDまたはTouch IDをご利用の方は、ぜひオンにすることをお勧めします。「設定」＞「Face ID/Touch IDとパスコード」と進み、パスコードを入力して「保護をオンにする」をタップしてください。（有効になっている場合は、「保護をオフにする」をタップして追加の保護機能を解除してください。）
盗難デバイス保護にはいくつかの条件があります。Appleによると、以下の条件を満たす必要があります。
- Apple IDに2要素認証を使用していること（現時点ではほぼ全員が使用しています）
- iPhoneにパスコードを設定する
- Face IDまたはTouch IDをオンにする
- 「探す」を有効にする
- 重要な位置情報をオンにします（設定 > プライバシーとセキュリティ > 位置情報サービス > システムサービス > 重要な位置情報）。これは必須ではないようです。
率直に言って、これらの必須機能をすべて有効にしない理由は思い当たりません！ 一つ例外を除けば、Appleの綿密な設計とエンドツーエンドの暗号化により、プライバシーを損なうことなくセキュリティを強化できます。特に、Appleの生体認証システムがパスコードよりも安全性やプライバシーが低いと考えている人は間違いで、自らを危険にさらしています。
例外は「重要な場所」です。これは、パスコードを知っている人なら誰でも直近の重要な場所を表示できるためです。そのため、窃盗犯がパスコードを入手してiPhoneを盗み、直近の重要な場所に行って盗難デバイス保護をオフにするというシナリオは、必ずしも容易ではないにしても、可能になります。ただし、iPhoneをリモートロックする時間はより長くなる可能性があります。
生体認証、特にFace IDよりもTouch IDに苦手意識を持つ人がいます。すべてのiPhoneユーザーが生体認証に頼ることができないという状況が、Appleが盗難デバイス保護をオプションにした大きな理由の一つです。もしあなたがそのようなユーザーであれば、盗難デバイス保護は馴染みのない場所で生体認証が必要となるため、問題を引き起こす可能性があります。例えば旅行中など、盗難デバイス保護とFace IDやTouch IDでの認証ができない状況では、キーチェーン内のパスワードが使えなくなる可能性があります。
盗難デバイス保護をオンにしておき、「重要な位置情報」をオフにしたり、様々なセキュリティ設定をオフにしようとしたりすることで、この機能が起動しました。そのたびに警告ダイアログが表示され、セキュリティ遅延が発生しました。iPhoneの電源をオフにしてオンにすると、セキュリティ遅延は停止しただけで、再起動を余儀なくされました。ついに有効期限が切れると（テスト中だと1時間は長すぎます！）、iOSからその旨の警告が表示されます。その後、再度認証を行い、以前制限されていた操作を実行できます。
最後に一つアドバイスを。iPhoneのパスコード盗難がもはや通用しないかもしれないことが、犯罪組織の間で常識となるまでには、まだ時間がかかるかもしれません。もちろん、iOS 17.3にアップグレードして盗難デバイス保護をオンにしていない人に対しては、今後も通用し続けるでしょう。ですから、iPhoneの盗難を未然に防ぐためにできる最善の策は、たとえあなたのデジタルライフを台無しにすることはできなくても、私がずっと言い続けてきたことです。公共の場でiPhoneのパスコードを決して入力しないことです。