Apple Podcastアプリに不審な挙動 宗教番組やスピリチュアル番組を勝手に再生 米メディア報道：この頃、セキュリティ界隈で

[鈴木聖子，ITmedia]

　米AppleのPodcastアプリが勝手にポッドキャストを立ち上げて、宗教番組やスピリチュアル番組などを再生してしまう――。そんな奇妙な現象が発生していると、米調査報道メディアの「404 Media」が伝えた。不正なコードを仕込んだWebサイトに誘導しようとする番組も見つかっており、専門家が懸念を示している。

App Storeの商品ページから引用

　404 Mediaによると、iOSとMacの両方のPodcastアプリで数カ月前から、宗教番組やスピリチュアル番組、教育番組などが何の脈絡もなく開いてしまう現象が発生するようになった。時にはマシンのロックを解除しただけでPodcastアプリが勝手に起動して、奇妙な番組が表示されることもあるという。

　最も不審なのは、「5../XEWE2'""""onclic…」という奇妙なタイトルが付いた2019年ごろの番組だった。この番組のページで「Webサイトを表示する」のリンクをクリックすると、別のサイトにリダイレクトされ、クロスサイトスクリプティング（XSS）攻撃を試みるサイトにリスナーを誘導しようとする。

　XSSは一見無害に見えるWebサイトに不正なコードを仕込む手口。うっかりアクセスすれば、ユーザーの情報が盗まれるなどの被害に遭いかねない。

　Podcastアプリのレビューでは、このポッドキャストについて「詐欺。AppleはどうしてXSS攻撃の試みを許しているのか」というコメントが書き込まれていたという。

　macOSのセキュリティに詳しい専門家のパトリック・ウォードル氏もこの問題を確認し、Xに下記のように投稿した。

1. WebサイトがAppleのPodcastアプリで攻撃者の選んだポッドキャストをこっそり（指示なしで）起動できる……リモートのゼロクリック経路もあるらしい
2. 攻撃者がXSS用にPodcastを詮索することもでき、これは（1）と非常にうまく組み合わせられる

　ウォードル氏は404 Mediaに対し、こうした挙動自体は攻撃とはいえないものの、もしPodcastアプリに脆弱性が存在しているとすれば「非常に効果的な配信の手段」になり得ると指摘している。

　この問題についてはAppleに取材を試みているが、何カ月たっても返事がないと404 Mediaは伝えている。