Mac（macOS）のトロイの木馬｜Appleシリコン時代の新たな脅威

2025年11月02日作成

コラム

「Macはウイルスに感染しない」という神話は完全に崩壊しました。2025年現在、Mac向けトロイの木馬は年間5,000種以上が発見され、特にAppleシリコン（M1/M2/M3）搭載Macの普及により新たな攻撃手法が急増しています。本記事では、Intel MacからAppleシリコンへの移行期における脅威の変化、AMOS・XLoader・Silver Sparrowなど最新のMac向けトロイの木馬の実例、macOS特有の感染経路と駆除方法、そしてクリエイティブ業界や企業でのMac管理まで、包括的に解説します。

Macは本当に安全なのか

「Macはウイルスに感染しない」神話の崩壊

長年にわたって信じられてきた「Macの絶対的安全性」は、もはや幻想に過ぎません。この認識の変化には、明確な転換点と理由があります。

2006年：Intel Mac登場で状況一変: PowerPCからIntelプロセッサへの移行は、Macの世界に革命をもたらしました。Boot CampによるWindows実行が可能になり、仮想化技術も普及したことで、クロスプラットフォーム型マルウェアの標的となりやすくなりました。また、Intel アーキテクチャの普及により、Windows向けマルウェアの移植が容易になり、攻撃者にとって魅力的なプラットフォームとなりました。
市場シェア増加（8%→15%）: 2006年の8%から2025年現在15%まで上昇したMacの市場シェアは、攻撃者の関心を引くのに十分な規模となりました。特に、クリエイティブ業界、教育機関、スタートアップ企業での採用率が高く、高価値なデータを扱うユーザーが多いことも標的となる要因です。日本では、デザイン会社の70%以上がMacを主力機として使用しており、知的財産の宝庫となっています。
攻撃者の関心上昇: Macユーザーは一般的に高所得層が多く、暗号資産保有率も高いという統計があります。また、セキュリティに対する過信から、パスワード管理が甘い傾向もあり、攻撃者にとって「割の良い」標的となっています。2024年のダークウェブでは、Mac向けマルウェアの開発キットが10万円〜50万円で取引されており、参入障壁が下がっています。
2025年：年間5000種の新型発見: 2025年には、Mac向けの新型トロイの木馬が年間5,000種以上発見されています。これは2020年の10倍の数字であり、指数関数的な増加を示しています。特にAppleシリコン専用のマルウェアが全体の30%を占めるようになり、プラットフォーム特有の攻撃が増加しています。

macOS特有のセキュリティ機能

Appleは多層防御システムを構築していますが、それぞれに限界があることを理解する必要があります。

多層防御システム

セキュリティ機能	役割	効果	回避方法
XProtect	組み込みアンチウイルス	既知の脅威を検出	新種・亜種には無力
Gatekeeper	アプリ検証	未署名アプリをブロック	右クリック→開くで回避可能
Notarization	公証システム	悪意あるコード事前チェック	公証後の改ざんは検出不可
SIP	システム整合性保護	システムファイル保護	ユーザー領域は保護対象外
Secure Boot	起動時検証	ブートキット防止	ファームウェア攻撃には脆弱
FileVault	ディスク暗号化	データ保護	ログイン後は無防備

XProtect（組み込みアンチウイルス）: macOSに標準搭載されているXProtectは、基本的なマルウェア検出機能を提供しますが、シグネチャベースのため、新種や亜種には対応できません。更新頻度も不定期で、最新の脅威への対応が遅れることがあります。2025年の調査では、XProtectの検出率は既知の脅威に対して85%でしたが、新種に対しては15%以下でした。
Gatekeeper（アプリ検証）: ダウンロードしたアプリケーションの署名を検証し、信頼できる開発者からのものかを確認します。しかし、ユーザーが「このまま開く」を選択すれば簡単に回避でき、多くのユーザーが警告を無視してインストールを続行してしまいます。
Notarization（公証）: 開発者がAppleにアプリを提出し、悪意のあるコードがないかチェックを受ける仕組みです。しかし、正規のアプリとして公証を受けた後に改ざんされたり、公証プロセス自体を悪用する事例も報告されています。

それでも感染する理由

技術的な防御機能があっても、人的要因により感染は続いています。

ユーザーの油断と過信: 「Macだから大丈夫」という根拠のない安心感が最大の脆弱性となっています。セキュリティ警告を軽視し、「このまま開く」を習慣的にクリックするユーザーが多く、2025年の調査では、Mac利用者の62%がセキュリティソフトを導入していないことが判明しています。また、macOSのアップデートを3ヶ月以上放置しているユーザーが35%に達しています。
ソーシャルエンジニアリング: 技術的な防御を迂回し、人間の心理を突く攻撃が増加しています。「Appleサポート」を装った電話詐欺、偽のシステム警告、緊急アップデートを装ったマルウェアなど、巧妙な手口でユーザーを騙します。特に日本では、丁寧な日本語で書かれた偽警告に騙されるケースが多発しています。
ゼロデイ脆弱性の存在: 未公開の脆弱性を突く攻撃は防ぎようがありません。2024年だけでmacOSに15個のゼロデイ脆弱性が発見され、そのうち5個は既に悪用されていました。特にSafariやWebKitの脆弱性は、ウェブ閲覧だけで感染する危険性があります。
サプライチェーン攻撃: 正規のソフトウェアや開発ツールを汚染する攻撃が増加しています。XcodeGhost事件のように、開発環境自体が汚染されると、そこから生まれるすべてのアプリが感染源となります。2025年には、人気のMac用開発ツール3つで汚染が発見されました。

Appleシリコン（M1/M2/M3）時代の変化

アーキテクチャ変更の影響

2020年から始まったAppleシリコンへの移行は、セキュリティ面でも大きな変革をもたらしました。

セキュリティ強化点

機能	説明	セキュリティ効果
Secure Enclave強化	独立したセキュリティプロセッサ	暗号鍵の完全隔離
Pointer Authentication	ポインタ改ざん防止	ROP攻撃を無効化
メモリ保護強化	ページ単位の実行権限制御	コード注入攻撃防止
カーネル保護向上	KTRR（Kernel Text Read-only Region）	カーネル改ざん防止

Secure Enclave強化: M1以降のチップでは、Secure Enclaveがさらに強化され、Touch ID、Face ID、FileVaultの暗号鍵などの重要情報が完全に隔離されています。メインプロセッサがマルウェアに感染しても、Secure Enclave内の情報は保護されます。ただし、ユーザーが認証を許可してしまえば、マルウェアもその権限を利用できることに注意が必要です。
Pointer Authentication: 関数のリターンアドレスにデジタル署名を付けることで、Return-Oriented Programming（ROP）攻撃を防ぎます。これにより、メモリ破損の脆弱性があっても、任意のコード実行が困難になりました。しかし、この機能を回避する新しい攻撃手法も研究されています。

新たな攻撃ベクトル

Appleシリコンの導入により、新しい攻撃手法も生まれています。

Rosetta 2経由の攻撃: Intel向けアプリを実行するためのRosetta 2は、新たな攻撃経路となっています。エミュレーション層の脆弱性を突いたり、Intel向けマルウェアがそのまま動作したりする問題があります。2025年の調査では、Rosetta 2で動作するマルウェアの検出率が、ネイティブARMマルウェアより20%低いことが判明しています。
Universal Binary悪用: IntelとARMの両方のコードを含むUniversal Binaryは、両プラットフォームで動作するマルウェアの温床となっています。ファイルサイズが大きくなるため検査を回避しやすく、どちらのアーキテクチャでも動作するため、感染範囲が広がります。
ARM特有の脆弱性: ARMアーキテクチャ固有の脆弱性も発見されています。特に、投機的実行に関する脆弱性や、メモリ管理ユニットの実装に関する問題などが報告されています。これらはIntel時代にはなかった新しいタイプの脅威です。

Mac向けトロイの木馬の実例

2024-2025年の主要な脅威

AMOS（Atomic macOS Stealer）

標的と目的: AMOSは暗号資産を狙う最も危険なMac向けトロイの木馬の一つです。Bitcoin、Ethereum、その他のアルトコインのウォレット情報を標的とし、被害総額は2025年だけで50億円を超えています。Telegram経由で月額1000ドルでレンタルされており、技術的知識の乏しい犯罪者でも利用可能です。
感染経路と手口: Google広告やソーシャルメディア広告を通じて、偽の暗号資産取引アプリや投資ツールとして配布されます。「期間限定キャンペーン」「独占投資機会」などの謳い文句で、ユーザーの欲望を刺激します。dmgファイルとして配布され、インストール時に管理者パスワードを要求することで、システム深部にアクセスします。
窃取される情報: Keychainに保存されたパスワード、Safari・Chrome・Firefoxの保存パスワードとクッキー、暗号資産ウォレットのシードフレーズ、Telegram・Discord・Slackのセッション情報、システム情報とインストール済みアプリリストなど、包括的な情報収集を行います。

XLoader

クロスプラットフォーム型の脅威: 元々Windows向けだったFormBookの後継として開発されたXLoaderは、macOS版も開発され、両プラットフォームで動作します。Java環境を利用することで、プラットフォームの違いを吸収し、同じ攻撃コードで複数のOSを狙えます。
Office文書経由の感染: 請求書、見積書、履歴書などを装ったOffice文書（.docx、.xlsx）に仕込まれたマクロから感染します。「互換性のため、コンテンツを有効にしてください」というメッセージで、ユーザーにマクロの実行を促します。Mac版Officeの普及により、この攻撃ベクトルが有効になっています。
月額制での販売: ダークウェブで月額49ドル（Mac版）、59ドル（Mac+Windows版）で提供されています。定期的なアップデート、24時間サポート、カスタマイズオプションなど、正規のSaaSサービスのような体制で運営されています。

Silver Sparrow

M1 Mac専用の謎: 2021年に発見されたSilver Sparrowは、M1 Mac専用にコンパイルされた初のマルウェアとして注目を集めました。30,000台以上の感染が確認されましたが、実際の悪意ある活動は観察されず、その目的は今も謎に包まれています。研究者の間では、将来の大規模攻撃のための「寝かせ」である可能性が指摘されています。
高度な隠蔽技術: LaunchAgentを使用した永続化、AWS S3を使用したC&C通信、自己削除機能による証拠隠滅など、高度な技術を駆使しています。また、1時間ごとにC&Cサーバーにチェックインし、新しい指令を待つ設計になっています。

macOS専用の攻撃手法

偽インストーラー

最も一般的な感染経路である偽インストーラーの実態を詳しく見ていきます。

偽装対象	配布方法	標的ユーザー	感染率
Adobe Flash Player	偽警告サイト	一般ユーザー	35%
Microsoft Office亀裂版	Torrent	学生・個人	28%
有料アプリ海賊版	違法ダウンロードサイト	節約志向ユーザー	22%
システムユーティリティ	偽広告	初心者	15%

悪意のある構成プロファイル

MDM機能の悪用: Mobile Device Management（MDM）プロファイルを悪用し、デバイスを遠隔制御します。「Wi-Fi高速化」「バッテリー最適化」などの名目で、ユーザーに構成プロファイルのインストールを促します。一度インストールされると、DNS設定の変更、証明書のインストール、アプリの強制インストールなどが可能になります。
検出と削除の困難性: 構成プロファイルは正規の機能であるため、アンチウイルスソフトでは検出されません。また、削除にはパスワードが必要な設定にすることも可能で、一度感染すると駆除が困難です。

感染確認方法

Activity Monitorでの確認

macOSの標準ツールActivity Monitorを使用した感染確認方法を詳しく解説します。

不審なプロセスの特定

確認手順：
1. Applications > Utilities > Activity Monitor を開く
2. CPU タブで使用率の高いプロセスを確認
3. Memory タブで大量消費プロセスを確認  
4. Network タブで通信量の多いプロセスを確認
5. 不審なプロセス名を右クリック→「Get Info」

注意すべきプロセス名の例：
- ランダムな文字列（例：xghj2b）
- 正規プロセスの偽装（例：kernl、safarii）
- 一般的すぎる名前（例：update、service）

Terminal コマンドによる詳細調査

システム管理者レベルの調査には、Terminalコマンドが有効です。

# LaunchAgent/LaunchDaemon確認
ls -la ~/Library/LaunchAgents/
ls -la /Library/LaunchDaemons/
ls -la /System/Library/LaunchAgents/

# 不審なネットワーク接続確認
netstat -an | grep ESTABLISHED | grep -v 127.0.0.1
lsof -i -P | grep LISTEN

# 最近インストール/変更されたファイル
find /Applications -type f -mtime -7
find ~/Library -type f -mtime -7 -name "*.plist"

# システムログから異常検出
log show --predicate 'process == "kernel"' --last 1h | grep -i error
log show --predicate 'eventMessage contains "malware"' --last 1d

# 隠しファイルの確認
ls -la ~/ | grep "^\."
defaults write com.apple.finder AppleShowAllFiles YES

Mac特有の駆除方法

手動駆除手順

Step 1：セーフモード起動

Intel Macの場合: 電源ボタンを押した直後からShiftキーを押し続け、Appleロゴが表示されたら離します。セーフモードでは最小限のシステム拡張のみが読み込まれ、多くのマルウェアは起動しません。
Apple Silicon Macの場合: 電源ボタンを押し続けて起動オプションが表示されたら、起動ディスクを選択してShiftキーを押しながら「セーフモードで続ける」をクリックします。

Step 2：悪意のあるアプリケーション削除

削除すべきファイルとディレクトリ：

/Applications/（不審なアプリ）
~/Library/Application Support/（不審なフォルダ）
~/Library/LaunchAgents/（不審な.plistファイル）
/Library/LaunchDaemons/（不審な.plistファイル）
~/Library/Preferences/（不審な設定ファイル）
~/Library/Caches/（不審なキャッシュ）

# ファイル完全削除コマンド
sudo rm -rf /path/to/malicious/file
# ゴミ箱を空にする
rm -rf ~/.Trash/*

Step 3：ブラウザの完全リセット

各ブラウザのリセット手順：

Safari：Safari→設定→プライバシー→「Webサイトデータを管理」→「すべてを削除」
Chrome：設定→詳細設定→リセットとクリーンアップ→「設定を元の規定値に戻す」
Firefox：ヘルプ→「トラブルシューティング情報」→「Firefoxをリフレッシュ」

macOS Sequoia（2024）以降の対策

新セキュリティ機能

macOS Sequoia以降で追加された新機能を最大限活用します。

機能	効果	設定方法
拡張Gatekeeper	実行時も継続監視	自動有効
改良Notarization	動的解析追加	開発者側で対応
プライバシー強化	アプリ権限細分化	初回起動時に設定
サンドボックス強化	完全隔離実行	App Store版推奨

推奨設定チェックリスト

System Settings → Privacy & Securityでの必須設定：

セキュリティ設定：
✓ FileVault有効化
  └ 起動ディスクを暗号化
✓ ファイアウォール有効化
  └ 「ステルスモードを有効にする」もON
✓ 自動アップデート有効
  └ 「システムデータファイルとセキュリティアップデート」もON
✓ アプリケーションソース
  └ 「App Store」のみに設定（可能な限り）
✓ スクリーンタイム
  └ アプリの使用制限設定

プライバシー設定：
✓ 位置情報サービス
  └ 必要最小限のアプリのみ許可
✓ カメラ/マイクアクセス
  └ 信頼できるアプリのみ許可
✓ フルディスクアクセス
  └ 極力許可しない

Mac ユーザーのための10の鉄則

安全なMac環境を維持するための必須ルール：

macOSを常に最新に保つ
- 自動アップデートを有効化し、セキュリティパッチは即座に適用
Gatekeeperを無効化しない
- 「すべてのアプリケーションを許可」は絶対に選択しない
管理者権限を最小限に
- 日常作業は標準ユーザーアカウントで実施
Time Machineバックアップ
- 最低週1回、できれば毎日自動バックアップ
FileVault必ず有効化
- ディスク暗号化で物理的な盗難にも対応
不明な開発元アプリ拒否
- 署名のないアプリは原則インストールしない
ブラウザ拡張機能厳選
- 必要最小限に留め、定期的に棚卸し
公共Wi-FiでVPN使用
- 信頼できるVPNサービスで通信を暗号化
Apple IDの2FA必須
- 二要素認証でアカウント乗っ取りを防ぐ
定期的なマルウェアスキャン
- 月1回は専用ツールでフルスキャン実施

まとめ

Mac向けトロイの木馬は、もはや「対岸の火事」ではありません。Appleシリコンへの移行期である2025年は、新旧両方の脅威が混在する特に危険な時期となっています。「Macだから安全」という過信を捨て、適切な対策を講じることが、デジタル資産と個人情報を守る唯一の方法です。

技術的な防御機能を過信せず、人的要因の強化、定期的な確認作業、そして何より「疑う姿勢」を持つことが、Mac環境でのセキュリティ確保の鍵となります。

🎯 あなたの状況に合わせた記事の選び方

今すぐ確認したい

→ パソコンの感染確認方法またはスマートフォンの症状から始めてください

予防策を知りたい

→ Windows Defenderの活用法またはセキュリティソフト比較をご覧ください

感染してしまった

→ 今すぐ感染した場合の緊急対応を最優先で読み、すぐに行動してください

基礎から学びたい

→ 初心者向け簡単解説から順番に読み進めてください

企業のセキュリティ担当者

→ 企業向け防御戦略で包括的な対策を学んでください

🔗 関連するセキュリティ脅威

トロイの木馬は単独で存在するのではなく、他の攻撃手法と組み合わされることで、より深刻な被害をもたらします。併せて理解しておくべき関連脅威:

同じカテゴリの脅威

マルウェア感染 - トロイの木馬を含む包括的な脅威
ランサムウェア - トロイの木馬経由で侵入する暗号化型マルウェア
スパイウェア・キーロガー - 情報窃取に特化したマルウェア
ボットネット - 感染端末がボット化され、攻撃の踏み台に

攻撃の入口となる脅威

フィッシング詐欺 - トロイの木馬の主要な配布経路
ソーシャルエンジニアリング - 心理的操作による感染誘導
中間者攻撃(MITM) - ダウンロード時の改ざん

結果として発生する被害

不正アクセス - 窃取された認証情報による侵入
アカウント乗っ取り - トロイの木馬が収集した情報で実行
データ漏洩 - 大規模な情報流出

すべての記事は、初心者から専門家まで理解できるよう、段階的に解説しています。まずは興味のある記事から読み始め、徐々に知識を深めていってください。

更新履歴

2025年11月02日: 初稿公開