Mac の偽クラッシュレポートがパスワードを要求？絶対に入力しないでください

Mac に、システムのクラッシュレポートとしか見えないウインドウが表示され、閉じる前にログインパスワードの入力を求めてきます。入力してはいけません。2026 年 7 月、Jamf Threat Labs は CrashStealer と名付けた macOS 向けインフォスティーラーの解析結果を公開しました。このマルウェアがやっているのはまさにそれです。macOS の通常のシステムツールになりすまし、ユーザーが差し出したパスワードを収集します。すでに入力してしまった場合は、このページの下にあるランブックまで飛んで、順番に作業を進めてください。

これは風変わりなゼロデイ脆弱性の話ではありません。何かがハッキングされたわけでも、セキュリティ上の欠陥が悪用されたわけでもなく、アップデートを適用していれば防げたという類のものでもありません。この攻撃のすべては、たった 1 つのことの上に成り立っています。ほとんどの Mac ユーザーは、長年にわたる正規の利用を通じて、macOS から来たように見えるウインドウにはパスワードを入力するよう訓練されてしまっている、ということです。CrashStealer は説得力のあるウインドウを描画し、残りはユーザー自身がやってくれます。

だからこそ、これはソフトウェアではなく知識で実際に解決できる問題です。以下では、多くの報道には見当たらない 2 つのことを扱います。1 つは、本物の macOS 認証ダイアログとアプリが描画した模造品を見分けるための実践的な方法。もう 1 つは、偽のプロンプトにすでにパスワードを入力してしまったと気づいた瞬間のための、冷静で順序立てられたランブックです。前半は予防の話です。後半は午前 2 時のダメージコントロールの話で、人がこれに気づくのはたいていその時間帯です。

重要なポイント

• 本物の macOS クラッシュレポーターがパスワードを求めることはありません。 クラッシュレポート、診断ツール、システムアップデーターを名乗るウインドウがログインパスワードを要求してきたなら、そのウインドウは macOS ではなくアプリケーションが描画したものです。
• 見た目より文脈が重要です。 本気の攻撃者なら、スクリーンショットと見分けのつかない偽物を作れます。偽造できないのは、本物のプロンプトが表示される理由です。本物の macOS 認証ダイアログは、直前にあなたが行った操作に続いて現れます。何もしていないのに突然現れたプロンプトは、手に入る中で最も強力な警告サインです。
• 公証（Notarization）はセキュリティ監査ではありません。 Jamf Threat Labs によれば、CrashStealer を配布していたアプリケーションは有効な Apple Developer ID で署名・公証されており、そのため Gatekeeper を通過しました。Apple はその後この証明書を失効させましたが、失効は事後処理であって予防ではありません。
• パスワードを入力してしまったなら、login Keychain も失われたと考えてください。 Jamf の報告によると、このマルウェアは入力されたパスワードをローカルで検証し、正しければそれを使って login Keychain をアンロックし、入力した内容よりはるかに多くの情報へ到達できます。
• 復旧の順序が重要です。 別の信頼できるデバイスから、まず Apple Account のパスワード、次にパスワードマネージャーのマスターパスワード、その次にメール、その次にお金、そして残りすべて。暗号資産のシードフレーズは焼失したものとして扱ってください。

Jamf Threat Labs が実際に報告した内容

Jamf Threat Labs は 2026 年 7 月中旬に CrashStealer の解析結果を公開し、その後数日のうちに 9to5Mac、MacRumors、Help Net Security、Malwarebytes、Infosecurity Magazine、SecureMac などが取り上げました。実際に報告された内容と、その後より曖昧な警告に言い換えられていった内容とは、分けて考える価値があります。

配布経路：探していたものとは違うディスクイメージ

Jamf の解析によると、このマルウェアは Werkbit Setup という名前のディスクイメージに入って届きます。被害者は DMG をマウントし、自分が探していたソフトウェアだと信じてインストールします。この段階では警戒すべきものは何もありません。この段階では、何も異常なことを要求されていないからです。

ここで重要なのは名前の食い違いです。あなたが検索したのは別のものなのに、ダウンロードフォルダに届いたディスクイメージは違う名前を名乗っています。この食い違いは、何かが実行される前に得られる数少ない信頼できるシグナルの 1 つであり、習慣にする価値があります。Finder のサイドバーに表示されるディスクイメージの名前を、そこから何かをドラッグして取り出す前に読むことです。

誘い：CrashReporter を名乗るアプリ

インストールされると、Jamf の報告によれば、この悪意あるアプリケーションは CrashReporter.app として姿を現し、通常の macOS システムコンポーネントの名前と全体的な見た目の両方を借用します。そのうえで、正規の macOS システムダイアログに似せたスタイルのパスワード入力画面を表示します。

この偽装が優れているのには具体的な理由があります。クラッシュレポートは、macOS が実際にユーザーの操作なしに表示してくる数少ないものの 1 つだからです。アプリは実際にクラッシュしますし、macOS は実際にレポート送信を提案しますし、ほとんどのユーザーはそのダイアログをよく読まないまま何十回も閉じています。マルウェアはその慣れを借りているのです。予期しないシステムウインドウが出てきても不自然に感じられない瞬間に現れ、本物のダイアログが決して求めないものを要求します。

入力した瞬間に何が起きるか

ここが、CrashStealer を単なるフィッシングウインドウより厄介にしている部分です。Jamf の報告によると、このマルウェアは入力されたパスワードをローカルで検証し、パスワードが正しければ、それを使って login Keychain をアンロックできます。

これが実際に何を意味するのかを考えてみてください。入力したパスワードそのものが目的なのではありません。それは、他のすべてを収めた容器の鍵なのです。login Keychain は、macOS が Wi-Fi のパスワード、アプリの資格情報、証明書、セキュアメモ、そして多くの人にとっては保存された Web サイトのログイン情報を長々と保管している場所です。ここがアンロックされることで、盗まれた 1 つの文字列が資格情報の一括流出に変わります。

報告されている標的もそれと一致します。ブラウザに保存された資格情報、パスワードマネージャーのデータ、ブラウザのウォレット拡張機能を含む暗号資産ウォレットのデータ、そして login Keychain の中身です。私たちが「Mac のパスワードは単なる画面ロックではない」と書き続けている理由が気になったことがあるなら、これがその理由です。パスワードは資格情報ツリーの根元にあります。悪意のない通常の状況でそのキーチェーンがアカウントパスワードとどれほど密接に結びついているかについては、macOS が login Keychain のパスワードを繰り返し要求してくる理由 のガイドで説明しています。

知っておく価値のある 2 つの技術的な点

Jamf は、逆アセンブラに一切触れない人にとっても防御上関係のある 2 つの特徴を挙げています。

1 つ目は、CrashStealer がネイティブの C++ で書かれていることです。ここ数年の Mac 向けスティーラーの多くは AppleScript に大きく依存してきました。AppleScript は比較的調べやすく、セキュリティツールがパターンマッチしやすく、macOS 自体が自動化の権限で制御しやすいものです。ネイティブバイナリは、エコシステムが安心して頼るようになっていた検出手法のカテゴリを回避します。一般ユーザーにとっての実務的な教訓は、「悪意あるアプリは自動化の権限を求めてくる」といった経験則は、頼りにできるルールではないということです。

2 つ目は、より影響の大きい点ですが、配布元のアプリケーションが有効な Apple Developer ID で署名・公証されていたことです。だからこそ Gatekeeper は、多くの人が信頼できないソフトウェアに対して連想するような摩擦なしにこれを通しました。この点には後で戻ります。多くの人の脅威モデルの中で「でも公証されていたし」という言葉が、実力以上の仕事をさせられているからです。

時系列

Jamf によると、未完成あるいは開発途上と思われる初期のサンプルが確認されたのは 2026 年 5 月ごろです。実際に動作する、野生に出回るバージョンが検出されたのは 2026 年 7 月初旬で、公開解析はその後の 7 月 13 日から 15 日ごろに続きました。

作りかけのサンプルから実際の展開までの約 2 か月の間隔は珍しくありません。そして、公開された単一の解析をもって話が終わったと考えるべきでない理由でもあります。スティーラーは改良が重ねられます。ディスクイメージの名前、アプリ名、プロンプトの正確な文言は、この作戦の中で最も使い捨てしやすい部分です。持続するのは手口の方であり、学ぶ価値があるのも手口の方です。

核心となる考え方：パスワード入力画面は主張であって証明ではない

チェックリストの前に、それらすべてを覚えやすくする考え方を 1 つ示します。

画面にパスワードを求めるウインドウが現れたとき、そのウインドウは自分が何者であるかについて主張をしています。macOS であると主張しているのです。ウインドウの見た目には、その主張を裏づけるものは何もありません。画面に描画する権限を持つアプリケーションであれば、システムダイアログの完璧な複製を含め、何でも描画できるからです。フォント、余白、鍵のアイコン、背景素材の正確な色合い、ボタンの配置、隅にある小さなアプリアイコン。そのすべてはただのピクセルであり、そのすべてはコピーできます。

ですから、問うべきは「これは本物に見えるか？」ではありません。問うべきは「本物がここに出てくる理由があるか？」です。

この捉え直しが、この記事の残りの部分が土台にしているものです。目視での確認にも価値はありますし、以下で紹介する具体的なチェックは雑な偽物を実際に捕まえます。しかし目視確認はフィルターであって、判決ではありません。判決を下すのは文脈です。

視覚的フォレンジック：本物の macOS プロンプトとアプリが描画した偽物

実際に確認できることを、それぞれのチェックがどれだけの重みを持つかの順に、おおよそ並べます。

1. 認証が必要になるような操作を自分でしましたか？

これは他を大きく引き離して価値の高いチェックであり、コストはゼロです。

本物の macOS の認証プロンプトは結果です。何かをインストールした。System Settings の鍵アイコンが付いた設定を変更した。システム機能拡張を承認した。管理者権限が必要なコマンドを実行した。Keychain の項目をアンロックした。ネットワーク構成を変更した。いずれの場合も、あなたは 1〜2 秒前に意図的な操作を行っており、プロンプトはその操作を名指しします。

macOS は通常の動作において、あなたが Web ページを読んでいたり動画を見ていたりする最中に、自らの判断でログインパスワードを求めてくることはありません。パスワード入力画面が現れたのに、それを引き起こした自分の操作を指し示せないなら、そうでないと証明されるまで敵対的なものとして扱ってください。「たぶん大丈夫」ではありません。敵対的、です。

その裏返しは居心地の悪いものですが、事実です。これを知っている攻撃者は、偽のプロンプトをあなたの操作に合わせて出そうとします。最も多いのは、攻撃者のアプリをインストールした直後の瞬間です。ダウンロードしたばかりのソフトウェアを開いた直後に現れるプロンプトは、安心材料にはなりません。それこそが CrashStealer のプロンプトが現れる瞬間です。

2. 要求してきている相手に、要求する筋合いはありますか？

システムコンポーネントの中には、日常的にパスワードを求めるものもあります。決して求めないものもあります。

macOS のクラッシュレポーターは、はっきりと「決して求めない」側に属します。アプリがクラッシュしたとき、本物のダイアログはアプリが予期せず終了したことを伝え、再度開く、無視する、Apple にレポートを送信する、のいずれかを提案します。パスワードは必要ありません。クラッシュログを Apple に送るのに管理者権限は不要だからです。本物のクラッシュレポーターが認証を求めてくる設定は存在しません。

単に情報を表示するだけのものの大半にも同じことが当てはまります。アプリがクラッシュしたと伝えるウインドウ、利用可能なアップデートの通知、保存に失敗した書類についてのダイアログ、ドライブが取り外されたというメッセージ。これらのいずれにも、ログインパスワードを要求する正当な理由はありません。情報を伝えるだけのメッセージが突然認証要求に変わったなら、おかしいのはあなたの Mac ではなく、そのウインドウです。

実際にパスワードを求めるカテゴリは次のとおりです。ホームフォルダの外に書き込むソフトウェアのインストール、System Settings の鍵がかかったペインのアンロック、カーネル機能拡張やシステム機能拡張の承認、FileVault や起動セキュリティ設定の変更、そして特定の保存項目に対する Keychain へのアクセス。目の前のウインドウがこれらのいずれも行っていないなら、パスワードを求めるべきではありません。

3. 実際にどのアプリが要求しているのかを突き止める

偽のプロンプトはあるプロセスに属しています。プロンプトが画面に出ている間に、そのプロセスを探しに行けます。

メニューバーを確認する。 ポインタを画面の一番上に移動します。アップルメニューの隣に表示されるアプリケーション名が、現在最前面にあるアプリを教えてくれます。システムダイアログを名乗るウインドウが出ているのに、メニューバーがダウンロードしたばかりのアプリの名前を表示しているなら、答えは出ています。

Command-Tab を試す。 プロンプトから別のアプリに切り替えられて、通常のアプリのウインドウのように他のウインドウの後ろに回るなら、それはアプリのものです。本物のシステムダイアログの一部はすべての上に浮きます。アプリが描画した偽物はそうでないことが多く、浮くタイプのものは別の形で正体を現します。

Force Quit を開く。 Command-Option-Escape を押します。Force Quit のウインドウには、実行中のアプリケーションが名前で一覧表示されます。見覚えのないもの、プロンプトと同じタイミングで一覧に現れたもの、システムコンポーネントに紛らわしいほど近い名前のものを探してください。問題のアプリを終了させるとプロンプトが消えることが多く、それ自体が求めていた確認になります。

Activity Monitor を開く。 アプリケーション > ユーティリティ > Activity Monitor では、バックグラウンドプロセスを含むより長い一覧が得られます。CPU 順またはプロセス名順に並べ替えて、最近現れたものを探します。Force Quit より手間がかかり、誤検知も起きやすい方法です。macOS は正規に、奇妙な名前のバックグラウンドプロセスを数多く動かしているからです。それでも、Force Quit で何も見つからないときに見る場所はここです。

正直な限界も述べておきます。よくできた偽物はプロセス名を無害そうなものにできますし、正規の 100 個の名前の中から悪意ある名前を必ず見分けられるとは限りません。このチェックは手を抜いた偽物は確実に捕まえますが、洗練された偽物は時々しか捕まえられません。

4. ドラッグテスト

これは本当に有用で、しかも一方向にだけ効きます。

プロンプトのウインドウを画面上でドラッグしてみてください。画面の端まで押しやるか、2 台目のディスプレイがあればそちらへ動かします。本物のシステムダイアログはそれ自体が 1 つのウインドウなので、デスクトップ上のどこへでも動かせます。他のウインドウの内側に描画された偽物は、親ウインドウの境界から出られません。これは、偽物が Web ページや Electron アプリ、全画面表示の中にいる場合によくあります。プロンプトが切れる、元に戻る、あるいは他のアプリのウインドウに対応する矩形の外に出ようとしないなら、それは偽物です。議論の余地はありません。

一方向というのはこういうことです。プロンプトが画面上を自由にドラッグできたとしても、それは何も証明しません。ネイティブアプリは、システムダイアログとまったく同じように動く枠なしのフローティングウインドウを作れます。ドラッグテストに合格しても健康証明書にはなりません。不合格なら有罪確定です。

関連する変種として、ウインドウのリサイズを試したり、中身に対して微妙にサイズが合っていないウインドウを探したりする方法もあります。Web ビューで作られた偽物は、ディスプレイの解像度を変えたり、スケーリングの異なるディスプレイ間で移動したりすると、おかしな拡大縮小をすることがあります。

5. 入力する代わりに Touch ID を使う

Mac に Touch ID があり、自分で開始した操作について認証を求められているのなら、キーボードではなく指紋センサーを使ってください。

これは Touch ID が見た目を真似できないからではありません。アプリは Touch ID 風のプロンプトを表示できます。役に立つ理由はもっと直接的です。指紋認証はアプリにパスワードを渡しません。 本物の Touch ID 認証は Secure Enclave を通じて行われ、要求元のプロセスには「はい」か「いいえ」の答えだけが返されます。パスワードは入力されないので、捕まえられるものが何もありません。もしそのウインドウが偽物だったとしても、資格情報に変換できない指紋スキャンを渡しただけで済みます。

そこにはもう 1 つのシグナルもあります。普段は Mac で Touch ID が提示される操作をしているのに、そのプロンプトだけが Touch ID の選択肢なしにパスワードの入力を要求してくるなら、なぜなのかを考えてください。本物のプロンプトでもパスワード入力が必須のものはあるので、これは赤信号というより黄信号ですが、他のチェックと組み合わせれば意味を持ちます。

6. Escape を押して、その後どうなるか見る

Escape を押すか、キャンセルをクリックします。そして観察します。

本物の認証プロンプトはきれいにキャンセルされ、実行しようとしていた操作は筋の通った形で失敗します。設定ペインをアンロックしようとしたなら、ペインはロックされたままです。何かをインストールしようとしたなら、インストーラーが続行できなかったと報告します。

偽物はたいていしつこく催促します。数秒後にまた現れる、デスクトップをクリックするたびに現れる、次回ログイン時に戻ってくる、あるいは完全には消えない。キャンセルされてもなお現れることは強力な手がかりです。マルウェアの価値のすべては、最終的にパスワードを手に入れることにかかっているからです。それは尋ね続けるように作られています。本物のシステムダイアログはそうではありません。

このチェックにはコストがあります。戻ってくるかどうかを見るために待たなければならず、その間、望まないものが動いているかもしれない Mac の前に座り続けることになります。使ってもよいのですが、ネットワークを切断する代わりに使ってはいけません。

7. 文面を読む。ただし重みは軽く

雑な偽物は細部を間違えます。macOS なら特定のアプリや特定の操作を名指しするところが一般的な表現になっている。大文字小文字がわずかにおかしい。実行中の環境と一致しないバージョン番号や製品名。翻訳したように読める文法。macOS の慣習とは違う順序で並んだボタンのラベル。現在のシステムアイコンより少し古い版のアイコン。

これらはいずれも気づく価値がありますが、いずれも頼りにする価値はありません。システムダイアログのタイポグラフィは、スクリーンショットと午後の半日があれば攻撃者にとって解決済みの問題です。文面の違和感は、他のチェックへ進む理由として扱ってください。最後の防衛線として扱ってはいけません。

目視確認の限界について正直になる

上記のどのチェックも、十分に慎重な攻撃者には破られます。もっともらしいタイミングで現れ、自由にドラッグでき、正しい文言を使い、キャンセルすれば消える、よくできたネイティブの偽物は、この記事のすべての目視テストに合格するでしょう。

それはチェックを省略してよい理由にはなりません。チェックが何のためにあるのかを理解する理由になります。チェックは、無制限の手間をかけて作られてはいない現実の偽物の大半を捕まえます。しかし、その下にある層、攻撃者の腕前に依存しない層は、行動に関するものです。

攻撃者の腕前に左右されない行動ルール

これらは、偽物が完璧であっても成り立つルールです。

ルール 1：自分が呼び出していないプロンプトには、決してパスワードを入力しない。 それを引き起こした操作を言えないなら、答えはノーです。「もう少しよく見てみよう」ではありません。ノーです。

ルール 2：迷ったらキャンセルして、自分から意図的にやり直す。 本当に何かを認証する必要があるなら、プロンプトを閉じ、アプリを終了し、信頼できる場所から自分で操作を開始してください。自分で System Settings を開いて鍵をクリックする。自分で Finder からインストーラーを実行する。そのうえで、自分がクリックした操作の直接の結果としてプロンプトが現れたなら、それが本物である可能性ははるかに高くなります。渡された文脈を受け入れたのではなく、自分で文脈を作ったからです。

ルール 3：何かをインストールした直後に現れるプロンプトは、最もリスクの高いプロンプトである。 CrashStealer が住んでいるのはそこです。新しいソフトウェアが管理者パスワードを求めるのは正当なこともありますが、それはこの攻撃の形そのものでもあります。そのソフトウェアが、これまで使ったことのないサイトからダウンロードしたばかりのものなら、認証する前に立ち止まって、自分が何をインストールしようとしているのか考え直してください。

ルール 4：Touch ID が提示されたら常にそちらを選ぶ。 これは「パスワードを渡してしまった」を「何も渡さなかった」に変えます。

ルール 5：何かおかしいと感じたら、まず切断し、考えるのはその後。 Wi-Fi をオフにするのはコストゼロで 2 秒で済みます。取り得る中で最も安上がりな行動であり、データの流出を止めるのはこの行動です。

すでに入力してしまった場合：事後対応ランブック

このセクションは最悪のケースを前提としています。偽物だったと今では思っているプロンプトに、ログインパスワードを入力してしまった場合です。あなたはおそらく、いらだちと本気の恐怖の間のどこかにいるでしょう。順番どおりに進めてください。効果の大きい行動が先に来るように、そしてストレス下で判断を求められることがないように設計されています。

手順の前に、前提を 2 つ示します。

1 つ目、流出はすでに起きたと想定してください。インフォスティーラーは速度重視で作られています。集めて、送るのです。最初の 10 分を、データが出て行ったかどうかの判定に使ってはいけません。出て行ったという前提の作業に使ってください。

2 つ目、login Keychain は侵害されたと想定してください。Jamf の報告によると、正しいパスワードがあれば CrashStealer はそれをアンロックできます。つまりこのインシデントの範囲は「パスワード 1 つ」ではありません。「そのパスワードが守っていたすべての資格情報」です。

手順 1：Mac をネットワークから切断する。今すぐ。

メニューバーから Wi-Fi をオフにします。Ethernet を使っているならケーブルを抜きます。徹底したいなら、Wi-Fi と Bluetooth の両方を無効にして、機内モードのような隔離状態にしてください。

これは 2 つのことを行います。マルウェアが収集済みでまだ送信していないデータのさらなるアップロードを止めること、そして遠隔からの指示チャネルを断つことです。すでに出て行ったものを取り消すわけではなく、後述の資格情報のローテーションの代わりにもなりませんが、無料で即座に実行でき、被害の範囲を限定します。

まだ Mac をシャットダウンしないでください。すぐ後で調べることになりますし、動作中のシステムの方が、起動し直さなければならないシステムより調べやすいからです。調べるつもりがまったくなく、そのまま完全消去に進む予定なら、シャットダウンして構いません。

手順 2：そのマシンで資格情報を入力するのをやめる

これはこの先数時間のためのルールで、人が気づかないうちに破ってしまうものです。

不審なアクティビティを確認するために、その Mac でメールにログインしてはいけません。パスワードを変更するために、その上でパスワードマネージャーを開いてはいけません。取引履歴を見るために、その上で銀行にサインインしてはいけません。侵害されたと考えているマシンに入力する資格情報はすべて、2 度目の受け渡しです。すぐに確認しに行きたいという衝動は強く、そしてまさに間違っています。

その Mac は、どう扱うかを決めるまでは読み取り専用の犯罪現場として扱ってください。

手順 3：別の信頼できるデバイスを用意する

スマートフォン、タブレット、別のコンピュータ、家族のマシンを使ってください。必要なのは、このインシデントに関与していないデバイスです。

1 つ注意があります。もしスマートフォンが同じアカウントにサインインしていて、同期されたパスワードマネージャーが入っているとしても、そのスマートフォンは復旧に使えるデバイスです。侵害されたのは資格情報であって、スマートフォン自体ではないからです。ただし、同じ悪意あるインストーラーが複数のマシンに触れた可能性が少しでもあるなら、別のものを使ってください。

手順 4：まず Apple Account のパスワードを変更する

他の何よりも先に、信頼できるデバイスからこれを行ってください。

Apple Account はツリーの根元です。iCloud Keychain、Find My、iCloud バックアップ、デバイスの認証、購入、そして多くの場合は他のアカウントの復旧経路を握っています。攻撃者にこれを取られると、侵害された Mac にはまったく保存していなかったものにまで手が届いてしまいます。

iPhone または iPad では：設定 > 自分の名前 > サインインとセキュリティ > パスワードの変更。Web では：appleid.apple.com。そのついでに、信頼できるデバイスの一覧を確認し、見覚えのないものや使っていないものを削除してください。

これまでどこでも使ったことのないパスワードを選び、古いパスワードのパターンを再利用しないでください。

手順 5：次にパスワードマネージャーのマスターパスワードを変更する

1Password、Bitwarden、Dashlane、KeePass などを使っているなら、そのマスターパスワードが 2 つ目の根元です。Jamf は CrashStealer の標的にパスワードマネージャーのデータが含まれると報告しているので、保管庫（Vault）は流出したものとして扱ってください。

信頼できるデバイスからマスターパスワードを変更し、次に「すべてのデバイスからサインアウト」や「すべてのセッションの認証を解除」に相当する操作を探して実行してください。多くのパスワードマネージャーにはシークレットキーやアカウントキーという概念もあります。ローテーションできるなら、それも行ってください。

その Mac でパスワードマネージャーがアンロックされた状態だった場合、またはデータがローカルにキャッシュされていた場合は、保管庫の中身は攻撃者に知られたと想定してください。嫌な気分になりますが、同時に正確な ToDo リストが得られます。保管庫の中のすべてをローテーションする必要がある、ということです。優先順位は次の手順に従ってください。

手順 6：メール、次にお金、そして残りすべてをローテーションする

この順序は恣意的ではありません。被害の波及範囲に従っています。

まずメール。 あなたのメールを支配する者は、他のほとんどのアカウントをリセットできます。所有しているすべてのメールアカウントのパスワードを、パスワードリセットのメールを受け取るアカウントから順に変更してください。そのうえで、各アカウントのセキュリティ設定で、アクティブなセッションや認証済みデバイスの一覧を探し、見覚えのないものをすべて失効させます。自分が作っていない転送ルールやフィルタも確認してください。侵害後によく行われる手口として、セキュリティ通知をこっそり転送したり自動アーカイブしたりして、警告に気づかせないようにするものがあります。

次にお金。 銀行、証券会社、決済アプリ、カード情報が保存されているものすべて。パスワードを変更し、次に最近のアクティビティを確認し、おかしなところがあれば各機関に電話してください。多くの銀行は、伝えておけばアカウントにインシデントを記録し、一定期間、監視を強化してくれます。

その後、残りすべて。 仕事のアカウント、クラウドストレージ、SNS、ショッピングサイト、開発者向けプラットフォーム、ドメインレジストラ、VPS プロバイダ、API キーを持つものすべて。ドメインレジストラとクラウドのコンソールは、多くの人が置いているよりも上位に置く価値があります。ドメインやクラウドアカウントの支配権は、その下流のすべてに対して長いてこを効かせる攻撃だからです。

これをすべて一度に片づけようとしないでください。メールとお金は今夜のうちに。長い尾の部分は、パスワードマネージャーの一覧を見ながら数日かけて進めてください。

手順 7：あらゆる場所でセッションとデバイスを失効させる

パスワードを変更しても、既存のセッションが必ず終了するとは限りません。多くのサービスは、明示的に終了させない限り、パスワード変更後も認証済みのセッションを平然と生かし続けます。

重要なアカウントごとに、アクティブなセッション、ログイン中のデバイス、接続済みアプリケーションを一覧表示するセキュリティのページを見つけて、きれいにしてください。Google、Microsoft、Apple、GitHub、Slack、Discord をはじめ、主要なサービスの多くがこの機能を提供しています。見覚えのないサードパーティアプリの認可も取り消してください。OAuth トークンはパスワード変更を生き延びる永続化の手段だからです。

ついでに、ブラウザの同期セッションも確認してください。ブラウザのプロファイルが侵害されたマシンと同期していたなら、すべての同期セッションからサインアウトし、クリーンなデバイスから同期をやり直すだけの手間をかける価値があります。

手順 8：暗号資産のシードフレーズは侵害されたものとして扱う

その Mac 上のソフトウェアウォレットやブラウザのウォレット拡張機能で暗号資産を保有していたなら、ここは期限が日単位ではなく分単位の部分です。

Jamf は CrashStealer の標的に、ブラウザのウォレット拡張機能を含む暗号資産ウォレットのデータが含まれると報告しています。そのマシンに存在したシードフレーズ、秘密鍵、ウォレットファイルはすべて、すでに知られていると想定してください。

取るべき行動は「ウォレットのパスワードを変更する」ことではありません。ウォレットのパスワードはローカルのファイルを保護するものであり、シードフレーズこそがアカウントです。シードが漏れているなら、あなたが Mac で何をしようと、資金は世界中のどこからでも手が届きます。

クリーンなデバイスから、新しいシードフレーズを持つ新しいウォレットを生成し、資金を移してください。デバイス自体でシードを生成するハードウェアウォレットが手元にあるか入手できるなら、それが正しい移し先です。古いシードフレーズを「安全にする」ために、どのデバイスにも再入力しないでください。安全にできるものはもう何もありません。侵害されていないか確認すると称するツールや Web サイトにも入力しないでください。それ自体がよくある詐欺です。

シードフレーズをその Mac 上のメモ、スクリーンショット、テキストファイル、パスワードマネージャーに保存したことがあるなら、同じことが当てはまります。今後その保管方法を考え直すのによいタイミングです。

手順 9：対応しているすべてのもので二要素認証を有効にする

メールと金融関連のアカウントですでに 2FA を使っていたなら、このインシデントは起こり得たよりかなり軽く済みます。パスワードを盗まれただけでは、それらの扉は開かないからです。

使っていなかったなら、各パスワードをローテーションするタイミングで有効にしてください。SMS よりも認証アプリかハードウェアセキュリティキーを選びましょう。SMS の 2FA は、何もないよりは明確に良く、他の選択肢よりは明確に劣ります。SIM スワップ攻撃はすでに成熟した産業だからです。

この状況に固有の注意点が 1 つあります。認証アプリのバックアップが、侵害されたキーチェーンにパスワードが入っていたクラウドアカウントに保存されていたなら、既存の設定が安全だと考えるのではなく、2FA を登録し直してください。

手順 10：ここで Mac 自体を調べる

クリーンなデバイスから資格情報のローテーションを進めながら、マシンに戻ります。調べている間はネットワークから切断したままにしてください。

ログイン項目とバックグラウンド項目。 System Settings > 一般 > ログイン項目と機能拡張 を開きます。読む価値のある一覧が 2 つあります。ログイン時に開くアプリと、実行を許可されているバックグラウンド項目です。興味深いのは 2 つ目の方で、各バックグラウンドエージェントの責任者である開発者名が表示されるからです。説明のつかないものは調べる価値があります。正規のソフトウェアもここに項目を追加するので、反射的にすべて削除しないでください。行動を起こす前に開発者名を検索しましょう。

構成プロファイル。 System Settings > 一般 > デバイス管理 を開きます。勤務先や学校に登録されていない個人の Mac では、このペインはたいてい表示すらされません。もし表示されて、自分がインストールしていないプロファイルが並んでいたら、それは深刻な発見です。構成プロファイルは DNS 設定を変更したり、証明書をインストールしたり、ポリシーを強制したりできます。ほとんどのユーザーがここを見ないからこそ、永続化の手段としてよく使われます。

日付順に並べたアプリケーションフォルダ。 Finder でアプリケーションを開き、追加日または変更日でソートしたリスト表示に切り替えます。インシデントの時期に現れたものは精査に値します。ユーザーレベルのアプリケーションフォルダがあるなら、同じことを行ってください。

ブラウザの拡張機能。 各ブラウザの拡張機能ページを開き、意図的にインストールしていないものをすべて削除します。ここで直接関係するウォレット拡張機能と、すべてのサイトでデータを読み取る広範な権限を持つものには特に注意してください。

最近のダウンロード。 ダウンロードフォルダを見て、発端となったディスクイメージやインストーラーを探します。もう一度開いてはいけません。ファイル名を知っておくと、同じ誘いがまた現れたときに気づけます。

何かを見つけて削除しても、これでクリーンだと結論づけないでください。見つけた部品を取り除いたことは、見つけられなかった部品について何も教えてくれません。

手順 11：消去して再インストールするかを決める

ごまかさずに正直な答えを書きます。偽のシステムプロンプトにログインパスワードを入力してしまったなら、消去して再インストールするのが正しい判断です。

理由は、除去が不可能だからではありません。検証が不可能だからです。管理者パスワードを手にした未知のネイティブバイナリを実行してしまったマシンで、何もないことを証明することはできません。手作業のクリーンアップで到達できるのは「他には何も見つからなかった」であって、「他には何もない」ではありません。仕事、メール、お金を抱えるマシンにとって、その差は重要です。

消去を省略しても妥当なケース：プロンプトを見たが何も入力せず、アプリを終了して削除し、その後おかしな挙動が何もない場合。確実に消去すべきケース：パスワードを入力した場合、何をインストールしたのか再構成できない場合、理解できない永続化の項目を見つけた場合、あるいはそのマシンが他人に対して責任を負う何かにアクセスできる場合。

現代の Mac で正しく行う手順は次のとおりです。

1. まずクリーンなデバイスから資格情報のローテーションを終えます。アカウントを掌握する前に消去してはいけません。消去してもアカウントの問題は直らないからです。
2. アプリケーションやシステム全体のイメージではなく、書類をバックアップします。必要なファイルを外付けドライブにコピーしてください。写真、書類、プロジェクト、ソースコード、自分が作ったものすべてです。
3. Apple silicon および T2 搭載 Mac では「すべてのコンテンツと設定を消去」（System Settings > 一般 > 転送またはリセット）を使うか、macOS 復旧（Recovery）から再インストールします。
4. Mac を新規として設定します。感染後に作成した Time Machine バックアップから復元してはいけません。また、移行アシスタントを使って、侵害された状態からアプリケーションやシステム設定を引き継がないでください。それが、人が自分で再感染しておきながらマルウェアは検出不可能だったと結論づける経路です。
5. アプリケーションは Mac App Store か各開発者の公式サイトから、新規に入れ直します。
6. 外付けドライブから書類を戻します。
7. サインインし直し、二要素認証を登録し直します。

そうです、一晩が失われます。しかしそれは、本当に信頼できるマシンで終わる一晩であり、その一晩より価値があります。

なぜ公証は誰も救わなかったのか

この件で最も示唆に富むのは、すべてが設計どおりに機能したにもかかわらず、ユーザーが被害に遭ったという点です。

公証とは実際に何なのか

開発者が App Store の外で Mac アプリを配布するとき、開発者は Apple の公証サービスにアプリを提出します。Apple は自動化されたチェックを実行します。既知の悪意あるコンテンツをスキャンし、コード署名を検証し、有効な Developer ID で署名されているかを確認し、一連のハードニング要件を満たしているかを確認します。通過すると、Apple はアプリにステープルされるチケットを発行します。

この一覧をもう一度読んで、そこにないものに注目してください。人間のレビュアーはいません。ユーザーが実行したときにアプリが何をするかという挙動の分析もありません。アプリの目的が誠実かどうかについての判断もありません。公証が答えるのは狭い問いです。このバイナリには、すでに悪意あるものとして認識されているものが含まれているか、そして識別可能な開発者によって正しく署名されているか。

説得力のあるパスワード入力欄を描画し、捕まえたものを送信するアプリは、スキャナーが探している意味での「既知の悪意あるコンテンツ」を含んでいません。とりわけそれが新しいネイティブバイナリであればなおさらです。すんなり通ってしまいます。

Gatekeeper が約束するものと約束しないもの

Gatekeeper は Mac 上の実施レイヤーです。ダウンロードしたアプリを開くとき、Gatekeeper はそれが署名・公証されているか、そして公証チケットが有効かを確認します。有効なら、アプリはほとんど摩擦なく開きます。そうでなければ、Mac ユーザーにおなじみの警告やブロックが表示されます。「アプリが壊れているため開けません」というメッセージもその 1 つで、これについては Gatekeeper と検疫のトラブルシューティングガイド で扱っています。

Gatekeeper が約束しているのは責任の所在であって、安全性ではありません。それが伝えているのは、このソフトウェアは Apple に登録し、Developer ID の料金を払い、バイナリをスキャンさせた開発者から来ている、ということです。つまり、もし悪意あるものだと判明した場合、Apple は誰の証明書を失効させればよいか分かる、ということです。そのアプリがあなたの信頼に値するかどうかを Apple が評価した、という意味ではありません。

この 2 つの間にある隙間こそ、この種の攻撃が生きている場所です。そしてこれは新しいことではありません。2025 年 12 月、MacSync Stealer が有効な Apple の公証を使って Gatekeeper を回避した件 について、私たちは同じパターンを書いています。その教訓は定着しませんでした。「公証済み」は、ほとんどの人にとっていまだに「承認済み」と読めてしまうからです。

失効は事後処理であって保護ではない

Apple は CrashStealer に関与した証明書を失効させました。それは正しい対応であり、実際に効果もあります。失効を確認する Mac ではそのアプリはもう起動しませんし、同じ証明書で次のビルドに署名することもできません。

しかし失効は解析の後に起き、解析は感染の後に起きます。7 月初旬の展開から失効までの期間に被害を受けた人は、そこから何の恩恵も受けていません。証明書の失効は免疫系の記憶であって、防壁ではありません。加えて、新しい Developer ID を入手することは、意欲のある攻撃者にとって解決可能な問題です。だからこそ、証明書を取り替えながら同じパターンが繰り返され続けます。

あなたにとっての実務的な結論はこうです。Gatekeeper を使い、有効のままにし、それを無効にするよう言われたものを動かすために無効にしないこと。そして、それをアプリを信頼する理由にしないこと。「署名されているか？」という問いは、「これは開発者から入手したのか、それとも検索結果から入手したのか？」よりずっと重要度が低いのです。

こうしたインストーラーはどこから来るのか

実務上、悪意あるディスクイメージがユーザーに届く経路は少数に限られ、そのすべてが同じ瞬間を突いてきます。あるソフトウェアが欲しいと決めて、どこからダウンロードするかを探している瞬間です。

検索広告。 よく知られたアプリを検索して最初の結果をクリックすると、それは偽サイトを指す有料広告です。広告文は的確で、ランディングページは出来のよいクローンで、ダウンロードボタンも機能します。これは他を大きく引き離して最も量の多い経路であり、検索結果ページの一番上が権威あるものに感じられるために機能します。

そっくりのダウンロードサイト。 1 文字違いのドメイン、もっともらしい単語を足したドメイン、別の TLD を使ったドメイン。さらに、本物のソフトウェアを独自のインストーラーで包む「ダウンロードポータル」のエコシステム全体も含みます。そうしたサイトがマルウェアを配布していない場合でも、改変されたインストーラーを配布しており、それは身につけたくない習慣です。

チャットやフォーラムで貼られるリンク。 Discord サーバー、Telegram グループ、Reddit のスレッド、サポートフォーラムのコメント。誰かが親切にミラーを投稿します。本当に親切な実在の人物であることもあれば、そうでないこともあり、メッセージからは区別がつきません。

有料ソフトウェアの割れ物や「無料」版。 これは説明不要で、スティーラーを引き当てる最も確実な方法の 1 つであり続けています。

4 つすべてに対する防御は同じです。検索する前に、どこからダウンロードするかを決めておくことです。開発者の実際のドメインに行きます。それは通常、アプリ自体、既存のインストール、ブックマーク、開発者の App Store の掲載ページ、あるいは認証済みの SNS アカウントから確認できます。そのうえで、そこからダウンロードします。検索結果ページに入手元を選ばせてはいけません。

実際に効果のある予防策

影響の大きい順に、短い一覧を挙げます。

App Store にあるアプリは Mac App Store から入れる。 App Store のアプリはサンドボックス化され、審査を受けています。これは公証とは本質的に異なる基準です。完璧ではありませんが、攻撃面ははるかに狭くなります。

App Store にない場合は、開発者自身の認証済みサイトへ行く。 ドメインを自分で入力するか、ブックマークを使うか、開発者の App Store 掲載ページから移動します。広告をクリックしてはいけません。

インストール前にディスクイメージの名前を読む。 ある製品を検索したのに、まったく関係のない名前の DMG をマウントしたなら、そこで止まってください。この習慣 1 つで、CrashStealer は入口で捕まえられたはずです。

macOS を最新に保つ。 XProtect の定義データと失効情報はアップデートの仕組みを通じて配信され、OS のフルアップデートを適用するかどうかにかかわらず届きますが、最新の状態を保つことはすべての層をサポートされた状態に保ちます。macOS Tahoe 26.6 アップデートガイド では、現行リリースの内容と、きれいにインストールする方法を扱っています。

どこにも存在しないマスターパスワードを持つパスワードマネージャーを使う。 Mac のログインパスワードとも、Apple Account のパスワードとも別で、そのどちらの変形でもないものにしてください。1 つの資格情報が破られたときに被害の範囲を限定するのはこれです。

login Keychain を本物のパスワードで守り続ける。 入力が面倒だからといってアカウントのパスワードを弱くしないでください。キーチェーンの保護を無効にしないでください。Touch ID は、強いパスワードが日々の負担にならないようにするためにこそ存在します。

FileVault を有効にし、バックアップを取る。 FileVault はマシンを紛失した場合に保存データを保護します。バックアップは「消去して再インストール」を大惨事ではなく 2 時間の面倒事に変えるものです。どちらも Mac のセキュリティとプライバシーのガイド でより詳しく扱っています。

必要になる前に二要素認証を有効にする。 これは、パスワードを盗まれても生き延びられるようにする対策です。

Mac でウイルス対策ソフトは実際に役立つのか

製品を勧めることなく、正直に答えます。

macOS 上のマルウェアスキャナーは、特定の仕事には有用です。すでに解析されカタログ化されたものを認識することです。既知のスティーラーファミリーがマシンに届いたなら、メンテナンスされているスキャナーはかなりの確率でそれを捕まえますし、それは小さなことではありません。感染の大半は新種ではないからです。スキャナーはインシデント後にも本当に役立ちます。マシンに何が入っているのかを突き止めようとするときの、セカンドオピニオンとしてです。

不得手なのは、この記事の事例です。CrashStealer は有効な証明書を持つ開発者アカウントから来たネイティブバイナリであり、その中核的な悪意ある行為は、ウインドウを表示してユーザーが入力した内容を読むことでした。新しいファミリーが登場してから検出が追いつくまでには時間の窓があり、その窓の間、シグネチャベースのツールには照合するものが何もありません。振る舞い検知は助けにはなりますが、魔法ではありません。

macOS にはすでに多層の保護が搭載されているという、正直な反論もあります。Gatekeeper、XProtect、XProtect Remediator、公証チェック、System Integrity Protection、そして App Store のソフトウェアに対するアプリのサンドボックス化です。ダウンロードの習慣がよい慎重なユーザーにとって、サードパーティのウイルス対策ソフトが加えるものは、他のプラットフォームでの場合より小さくなります。

明確に意味があるのは次の場合です。あまり注意深くない人と Mac を共有している場合、他人のデータを扱っている場合、コンプライアンス要件のある環境で働いている場合、あるいはすでに 1 度インシデントを経験して、もう一組の目が欲しい場合。あまり意味がないのは、前のセクションの習慣の代わりとして使う場合です。ウインドウにパスワードを入力すると決めてしまうことから守ってくれるスキャナーは存在しません。

より長い比較を読みたい場合は、2026 年版 Mac ウイルス対策ガイド がトレードオフを詳しく扱っています。

よくある問題のトラブルシューティング

問題： パスワードの入力画面が出たので、キャンセルをクリックして何も入力しませんでした。大丈夫でしょうか？ 解決策： パスワードそのものについては、ほぼ確実に大丈夫です。キャンセルのクリックで何かが漏れることはありません。ただし、そのプロンプトを描画したアプリはまだ Mac にあり、まだ動いています。Force Quit から終了させ、その後で探して削除し、それからログイン項目と機能拡張、およびデバイス管理に何か残されていないか確認してください。プロンプトが戻ってこないか注意してください。戻ってくるなら何かが残って永続化しています。発生源が見つからない場合や、再起動後にプロンプトが再び現れる場合は、進行中の感染として扱い、ランブックの手順 10 から進めてください。

問題： プロンプトが本物かどうかどうしても判断できず、正当な操作を認証する必要があります。 解決策： プロンプトを完全に閉じてから、自分で文脈を作ってください。アプリを終了します。System Settings か Finder を直接開き、やりたかった操作をそこから開始します。信頼できる場所で自分が行ったクリックの直接の結果としてプロンプトが現れたなら、本物である可能性ははるかに高くなります。認証するときは、提示されるなら Touch ID を使ってください。そうすればいずれにせよパスワードは入力されません。自分が何も開始していないのにプロンプトが現れ続けるなら、その曖昧さ自体が答えです。それは偽物です。

問題： すでにパスワードを入力してしまいました。最初の 60 秒で何をすべきですか？ 解決策： Wi-Fi をオフにするか Ethernet を抜きます。その Mac で資格情報を伴うことは一切やめます。スマートフォンか別のコンピュータを手に取り、Apple Account のパスワードを変更し、次にパスワードマネージャーのマスターパスワードを変更します。そのあとメール、次に金融関連のアカウントです。その Mac で暗号資産を保有していたなら、他の何よりも先にクリーンなデバイスから資金を移してください。シードフレーズの流出にはやり直しがないからです。順序立てた全手順は上のランブックのセクションにあります。即興で対応せず、そちらを順に進めてください。

問題： Force Quit やアプリケーションフォルダに、見覚えのないアプリを見つけました。 解決策： 開かないでください。行動を起こす前に、別のデバイスから正確な名前を検索してください。正規の補助アプリにも奇妙な名前のものは多くあります。見覚えがなく、インシデントの時期に現れたものなら、終了させ、ゴミ箱に入れ、ゴミ箱を空にし、それからログイン項目と機能拡張で対応するバックグラウンド項目を確認して、それも削除してください。1 つの部品を見つけたからといって、すべてを見つけたことにはなりません。調査の手順を続け、消去するかどうかの判断も検討してください。

問題： System Settings に、インストールした覚えのない構成プロファイルが表示されています。 解決策： 勤務先や学校に管理されていない個人の Mac では、デバイス管理のペインはたいてい存在すらしません。存在していて見覚えのないプロファイルが並んでいるなら、それは侵害の強い兆候です。プロファイルは DNS を書き換えたり、通信を傍受できるようにする証明書をインストールしたりできます。System Settings > 一般 > デバイス管理 から削除し、その後ネットワーク設定で DNS サーバーが変更されていないか確認してください。プロファイルにできることを考えると、この発見は完全な消去と再インストールへ強く傾きます。

問題： Mac が login Keychain のパスワードを絶えず要求してきて、何を入力しても通りません。 解決策： これはまったく無害な理由でも起こり得ます。多くは、リセット後にアカウントのパスワードとキーチェーンのパスワードがずれてしまった場合です。セキュリティインシデントの後に起こることもあります。マルウェアを疑う理由が少しでもあるなら、まずクリーンなデバイスから資格情報をローテーションし、そのあとでトラブルシューティングしてください。インシデントとは無関係だと確信できるなら、Mac が login Keychain のパスワードを繰り返し要求する場合 のガイドが、キーチェーンの再同期やリセットを安全に行う方法を説明しています。

FAQ

本物の macOS クラッシュレポーターがパスワードを求めることはありますか？

いいえ。アプリがクラッシュしたとき、macOS は再度開く、無視する、Apple にレポートを送信する、のいずれかを提案します。クラッシュログの送信に管理者権限は不要なので、本物のクラッシュレポーターが認証を求める設定は存在しません。ログインパスワードを要求してくるクラッシュレポートのウインドウは、例外なく偽物です。

Mac を最新にしているのに、なぜマルウェアが Gatekeeper を通過したのですか？

Jamf Threat Labs は、配布元のアプリが有効な Apple Developer ID で署名・公証されていたと報告しています。公証は既知の悪意あるコンテンツと署名の問題を自動でスキャンするものであって、人間によるセキュリティレビューではないため、新しいネイティブバイナリは通過し得ます。Gatekeeper は有効なチケットを尊重しました。Apple はその後、証明書を失効させています。

パスワードを入力した場合、侵害されるのはそのパスワードだけですか？

いいえ、そしてここが要点です。Jamf の報告によると、CrashStealer はパスワードをローカルで検証し、正しければ login Keychain をアンロックできます。キーチェーンには Wi-Fi のパスワード、アプリの資格情報、証明書、保存されたログイン情報が入っています。入力したものだけでなく、その Mac に保存されていたすべての資格情報が流出したものとして扱ってください。

Mac を消去すれば、それだけで問題は解決しますか？

いいえ。消去はマシンからマルウェアを取り除きますが、すでに外へ出た資格情報については何もしません。まずクリーンなデバイスから、Apple Account とパスワードマネージャーを起点にパスワードをローテーションし、そのあとで消去してください。また、感染後のバックアップから復元したり、アプリケーションを移行したりするのは避けてください。問題を再び持ち込むことになりかねません。

偽のプロンプトは見た目で見分けられますか？

見分けられることもあれば、できないこともあります。ドラッグしてみてください。他のアプリのウインドウから出られないプロンプトは間違いなく偽物です。メニューバーと Force Quit を確認して、どのアプリが要求しているのかを見てください。ただし、よくできたネイティブの偽物はすべての目視テストを通過し得ます。だからこそ、信頼できるルールは見た目ではなく文脈なのです。自分が呼び出していないプロンプトは敵対的です。

この件のあと、Mac にウイルス対策ソフトを入れるべきですか？

役に立つことはあります。主に既知のマルウェアファミリーを捕まえる用途と、インシデント後のセカンドオピニオンとしてです。最も弱いのはまさにこのシナリオ、つまり説得力のあるウインドウを攻撃手段とする、署名済みの新しいバイナリに対してです。良いダウンロードの習慣、他と重複しないパスワードマネージャーのマスターパスワード、そして二要素認証の方が、どのスキャナーよりもあなたを守ります。

まとめ

CrashStealer は、古い発想をうまく実装した一例です。Jamf Threat Labs が報告したのは、ネイティブの C++ で書かれたインフォスティーラーで、Werkbit Setup という名前のディスクイメージで配布され、CrashReporter.app を名乗るアプリをインストールし、システムダイアログに見せかけたパスワード入力画面を表示し、入力された内容を検証し、正しいパスワードを使って login Keychain をアンロックしてブラウザの資格情報、パスワードマネージャーのデータ、暗号資産ウォレットに到達する、というものでした。有効な Apple Developer ID で署名・公証されていたため Gatekeeper はこれを通し、Apple は事後に証明書を失効させました。

具体的な部分を取り払うと、残るのは 1 つの判断点です。あるウインドウがパスワードを求め、あなたはそれを渡すかどうかを決めた。その判断は技術的なものではありません。習慣であり、習慣は身につけられます。身につける価値のある習慣は、午前 1 時でも思い出せるくらい小さなものです。パスワードが必要になるようなことを自分でしていないなら、パスワードを入力しない。 キャンセルし、どのアプリが要求しているのかを突き止め、信頼できる場所から自分で操作をやり直す。Touch ID が提示されたら使う。指紋は、入力した文字列のようには盗めないからです。

すでにパスワードを入力したあとでこれを読んでいるなら、状況は回復可能であり、重要なのは順序です。Mac を切断する。別のデバイスに移る。Apple Account が 1 番、パスワードマネージャーが 2 番、メールが 3 番、お金が 4 番。暗号資産はクリーンなデバイスから直ちに移し、シードフレーズは焼失したものとして扱う。セッションを失効させ、ログイン項目と構成プロファイルを確認し、そのうえで侵害された状態を復元するのではなく、消去して新規として設定する。すべてを一度に解決しようとせず、リストを上から順に片づけてください。

今週 15 分だけ時間を取って、何も燃えていないうちに予防の部分をやっておいてください。メールと金融関連のアカウントで二要素認証が有効になっていることを確認する。パスワードマネージャーのマスターパスワードが他のどこにも存在しないことを確かめる。動作するバックアップがあることを検証する。そして macOS が最新であることを確認する。それからこのページをブックマークしてください。次の偽のプロンプトは見た目が違うでしょうが、ルールは同じです。