xiaolong 
VoiceOverはAppleがiOSに設定しているボイスヘルパーで、ディスプレイに表示されている文字を読み上げることで、視覚障害者やその他の正常にAppを使用できない場合でも、VoiceOverによって操作ができるようになります。この機能は【設定＞一般＞アクセシビリティ＞VoiceOver】でオンにできます。しかしこのVoiceOverに脆弱性があることは以前からも知られています。
今回はiOSハッカーのJose Rodriguez氏が、一昨日iOS 12〜12.0.1の最新iPhone XS/iPhone XS Maxを含む全機種で可能なVoiceOverとSiriの脆弱性を使ったパスコードロックバイパス方法をYoutubeにアップしており、話題になっています。この方法を用いると、iPhoneにパスコード/パスワードロックがかかっていても、iPhone内部の写真や連絡先、そして通話記録にアクセスできてしまうというものです。
Siri+VoiceOverの脆弱性を利用して、パスコードロックを回避して内部の情報を見る方法【悪用厳禁】
まずはiPhoneをパスコード/パスワードロックがかかった状態にして（スリープ状態）、そのiPhoneに電話をかけます。そしてその時に着信を選択せずに、メッセージを選択し、メッセージを編集メニューでメッセージアプリの画面に入ります。その後Siriを使ってVoiceOverをアクティベートし、またメッセージアプリに戻ります。そしてキーボードの左上の【＞】アイコンをタップしてカメラアイコンをタップし、側面のスリープボタンでSiriを起動する時に、スクリーンをダブルタップすると、このバグが利用可能となります。キーボードで連絡先の誰かの頭文字を一文字でも入力すると、連絡先アプリが開き、連絡先アプリで連絡先を新規追加して、顔画像のところをタップすると、写真を追加するという画面が現れ、iPhoneの中にある全ての写真を見られるようになってしまいます。また、連絡先アプリで誰かを選択すると、その人とのこれまでの通話記録まで見られてしまいます。
実際の操作手順は、以下の動画をご覧ください。
Siri＋VoiceOverの脆弱性を使ったハッキング手法は2年前から存在
上記のようなVoiceOver機能の脆弱性を使ったこのようなハッキング方法は、手法は異なるもののこれまでも他のハッカーによって実際に存在することが証明されてきましたが、今回公開された方法はあまりにも簡単で、全く技術的な作業を必要としないのが問題です。
Siriを使ってVoiceOverをアクティベートできるこの脆弱性（バグ）については、一昨年2016年のiOS 10.1.1の時に広く暴露され、海外では大きな反響を呼びました。しかしその後、VoiceOver機能そのものを使っている人がごく少数であり、一般のユーザにとってはあまり縁がない機能のため、その後Appleを問責するような論調も時間の流れと共に減っていき、忘れ去られてきました。
しかしまさかこの2年前のバグが現在最新のiOS 12.0.1、そして最新のハードウェアでもあるiPhone XS/iPhone XS Maxでもこの方法が使えるというのは、さすがに開いた口が塞がらないといったところでしょう。Appleはいつこのバグを塞ぐのでしょうか。
VoiceOver脆弱性利用ハッキングからあなたのiPhoneを守る方法
なお、この脆弱性からiPhoneを守るには、Appleによる修正パッチ（iOSアップデート）を待つ手もありますが、【設定＞Siriと検索＞SIRIに頼む】で、【ロック中にSiriを許可】をオフにすることで対策できます。
また、同様の設定は【設定＞Face ID（Touch ID）とパスコード＞ロック中にアクセスを許可】で、【Siri】をオフにすることでも可能です。
私は基本、Siriを使っていないのでもともとこの設定になっていますが、皆さんも見直してはいかがでしょうか。特にロック画面でのSiriの使用については、これまでも多くの脆弱性が指摘されています。基本、iPhoneのロック中には、懐中電灯とカメラで写真を撮る、電話を受けるくらいしかできないようにしておいた方が安全です。コントロールセンターにもアクセスできないようにしておいた方がいいですよ。
記事は以上です。
（記事情報元：AppleInsider）