セルビアで2024年3月の地方選挙を前に、市民社会に属する少なくとも14人が高度なスパイウェアによる標的型攻撃を受けていたことが、デジタル人権団体「SHARE Foundation」の調査で明らかになった。同団体は声明の中で、今回確認されたスパイウェア感染の波は、セルビア国内でこれまでに文書化された中で最大規模のものだと指摘している。
Appleの警告が発端となった大規模スパイウェア被害
この一連の感染は、Appleが110カ国のユーザーに対して「傭兵スパイウェア（mercenary spyware）」の標的となった可能性があると警告を発したことを契機に、2024年8月にSHARE Foundationが発見した。同団体によれば、標的は学生や政治的反対派メンバーなど、選挙を控えた政治的に敏感な立場にある人物が中心となっている。
今回の攻撃で使用されたのは、極めて高度で侵入的なスパイウェアである。SHARE Foundationは声明で、このスパイウェアの危険性と、それが民主主義プロセスに与える影響について深刻な懸念を表明している。国家レベルの支援を受けたとされるこうしたスパイウェアは、端末の完全な乗っ取り、通信の傍受、位置情報の追跡、さらにはカメラやマイクの遠隔起動までも可能にすると言われている。
選挙と結合する高度スパイウェアの脅威
セルビアでは2024年3月の地方選挙に加え、その後に国政選挙を控えて政治的緊張が高まっていた。このようなタイミングで市民社会のアクティビストや野党関係者が狙われたことは、スパイウェアが単なるサイバー犯罪のツールではなく、政治的な武器として利用されている実態を浮き彫りにしている。
専門家の間では、こうした攻撃の背後には政府機関または政府と密接に関連する組織が存在する可能性が指摘されている。しかし、現時点でSHARE Foundationは攻撃者の特定には至っていない。同団体は、被害に遭った個人に対し、デバイスの完全な初期化やセキュリティ専門家への相談を推奨している。
セルビアにおけるスパイウェア被害が示す問題点
今回の事件は、セルビア国内における表現の自由や市民社会の活動の余地が、デジタル空間を通じて脅かされている現実を浮き彫りにしている。特に、選挙という民主主義の根幹に関わるプロセスにおいて、特定の市民がスパイウェアによって監視され、脅迫や情報漏洩のリスクにさらされることは、公正な選挙の実施そのものを揺るがしかねない深刻な問題である。
ペガサス（Pegasus）に代表されるような軍需グレードのスパイウェアの拡散は、国際社会で大きな問題となっている。セルビア国内でも過去にジャーナリストや人権活動家が同様の標的型攻撃を受けた事例が報告されており、今回の被害はその延長線上にあると見られる。
市民社会を標的にする「傭兵スパイウェア」とは
Appleが今回の警告で使用した「傭兵スパイウェア（mercenary spyware）」という表現は、特定の国家や組織に雇われた民間企業が開発・運用する、高度な監視ソフトウェアを指す。これらの企業は、標的のデバイスにゼロクリック（ユーザーの操作なしに感染が完了する）またはワンクリックで侵入する技術を有しており、その存在を検知することは極めて困難である。
こうしたスパイウェアの市場は近年拡大しており、人権侵害との懸念から国際的な規制を求める声が高まっている。しかし、その取引の不透明性や国家主権の問題が絡むため、効果的な対策の確立には至っていない。
日本企業とユーザーへの示唆
今回のセルビアでの事例は、特定の地域に限られた問題ではない。日本の企業や市民社会組織も、特に政治活動や人権問題に関わる場合、国際的なスパイウェアの標的となる可能性は否定できない。Appleの警告が110カ国に及んだ事実は、この脅威がグローバルな広がりを持っていることを示している。
日本国内でも、iPhoneやAndroidデバイスを業務で使用する企業や団体は、定期的なセキュリティアップデートの適用、不審なリンクのクリック回避、多要素認証の導入など、基本的な対策を徹底することが求められる。特に、海外とのやり取りが多い組織や、政治的にセンシティブな情報を扱う組織は、より高度なモバイルセキュリティソリューションの導入を検討すべき時期に来ている。
SHARE Foundationによる今回の報告は、デジタル監視が民主主義の根幹を蝕むメカニズムを明確に示した。セルビアという一国内で起きた事件として看過されることなく、今後、世界中の市民社会がこうした脅威にどう備えるべきか、真剣な議論が求められる。
