デジタル捜査ソリューションを手がけるMagnet Forensicsは、Apple製スマートフォンのセキュリティ機構を回避する新たな法医学機器を開発しました。米国で流出した同社の内部紹介映像により、押収された端末の再起動を防ぎ捜査機関によるデータ抽出を支援するGrayKey PreserveおよびEvidence Preservation Modeの存在が明らかになっています。
この新技術は、2024年11月1日に公開されたiOS 18.1で導入された無活動時再起動タイマーに対抗する仕組みとして機能します。Appleが実装したこの保護機能は、ロック解除が行われないまま72時間が経過すると端末を強制再起動させ、内部データを高度に暗号化された初期状態へ戻す設計になっていました。
暗号化復帰を遮断して捜査データの消失を防ぐ専用ハードウェア
GrayKey Preserveは、iPhoneが強固な暗号化状態に移行することを阻止し、一度ロック解除された状態を強制的に維持します。端末の電源が遮断されたり再起動が発生したりした場合でもこの中間状態は保たれ、Wi-FiやBluetooth、携帯電話ネットワークの通信経路を遮断することで所有者による遠隔データ消去も無力化されます。
開発されたシステムは、72時間の時間制限により証拠保全が困難となっていた各国の法執行機関の要望に対応するものです。米国の捜査現場では、証拠保管庫に収容したスマートフォンが令状の取得待ちの間に自律再起動してしまう事態が頻発していました。開発元によると、GrayKeyシリーズの製品群は現在40カ国にある1200の警察組織や政府機関で運用されています。
関連ニュース: Apple StoreでiPhoneを機種変更するドコモ利用者はeSIMクイック転送が使えず再注文のリスク
流出した紹介映像の中でMagnet Forensicsの担当者は、この仕組みをiOS捜査における画期的な転換点であると説明しました。Hasso Plattner Instituteのセキュリティ研究者であるJiska Classen氏も、無活動再起動の導入前に近い水準まで捜査環境を押し戻す効果があると分析しています。
国際的な運用規制を巡る課題と過去の強制押収事例
捜査機器の能力向上に伴い、提供元企業によるライセンス管理や統制の実効性についても議論が続いています。カナダの調査研究機関Citizen Labが精査した裁判資料によると、ロシアの捜査当局はイスラエルのCellebriteが開発した解析ツールUFEDを使用し、政治活動家Andrey Pivovarov氏の端末から通信アプリのログを抽出していました。
- 2021年3月：イスラエルのCellebriteがロシア国内に対する技術販売の停止と事業撤退を公式発表。
- 2021年6月17日：ロシアの捜査機関が販売停止から3カ月経過した段階でAndrey Pivovarov氏のiPhone 12からメッセージ履歴を抽出。
- 2024年11月1日：Appleが無活動状態での自動再起動を促すiOS 18.1の配信を開始。
契約停止後のツール利用について人権擁護を専門とする弁護士Eitay Mack氏は、販売停止やライセンス失効の措置だけでは過去の顧客による技術の不正運用を防ぎきれないと指摘しました。これに対しCellebriteのマーケティングディレクターを務めるDavid Gee氏はCitizen Labに対し、ロシア域内での契約は完全に打ち切られており、その後の運用は無認可のものであったと説明しています。
あわせて読みたい: Apple配信のiOS 26.2.1がiPhone 17 Pro Maxを直撃し急速な電池消耗や30GB表示異常を招く
Citizen Labの上級研究員John Scott-Railton氏は、権利侵害の報告が寄せられた際には遠隔操作でシステムを停止させる機能を導入すべきだと提言しました。端末の複製作成時に暗号化署名による電子透かしを埋め込むことで、責任の所在を明確にする必要があるとも強調しています。
今回明らかになった回避手法について、AppleおよびMagnet Forensicsは取材に対する回答を行っていません。タイマー処理を停止させる技術的な詳細構造は外部機関による独立した検証を受けておらず、どの機関が実運用を開始しているかについても公表されていません。
