1. 「落ちたリンゴ」手法の理論
2. 「落ちたリンゴ」手法の実践（実際の企業でのリアルなテスト）
結論
「落ちたリンゴ」手法は、古典的な「トロイの木馬」スキームの物理的バリエーションです。攻撃者は、感染したデバイスを潜在的な被害者の手の届く場所に置きます。2026年においても、このアプローチはペネトレーションテストのシナリオで依然として見られますが、現代の現実に合わせて変化しています。かつてはCDディスクが一般的でしたが、今日ではUSBドライブやmicroSDカードが主流です。デバイスは正当なアイテムに偽装され、添付されたラベルは好奇心をそそり、使用を促すように設計されています。
典型的な例：デバイスに企業ロゴと「2007年第1四半期給与記録」のような興味を引くフレーズを付けます。「落とす」場所は、デバイスが確実に目に入るように選ばれます。ロビー、休憩室、トイレ、駐車場などです。従業員は好奇心からデバイスをコンピュータに挿入するか、善意からIT部門に届けるかもしれません。皮肉なことに、これが攻撃の主な目的です。
「落ちたリンゴ」手法の理論
私はこの手法に非常に興味を持ち、2026年初めに合法的なペンテストの一環として実際に試すことにしました。ターゲットは私がよく知る組織（当然の理由で名称は非公開）でした。環境を分析した結果、媒体としてUSBドライブを選びました。
「リンゴ」のソフトウェア部分は、2つの独立したモジュールで構成されていました。
- autorun.iniによって参照されるインストーラー
- 実際のペイロード（「リンゴ」）
事前偵察により、オフィスでは「アンチハッカー」モジュールと内蔵ファイアウォールを備えたアンチウイルスソフトウェアが広く使用されていることがわかりました。これにより、ネットワークを介したデータのサイレントな持ち出しの可能性は即座に排除されました。ネットワークアクティビティの試みはほぼ確実にブロックされるからです。
当初は、トリガー後に「Hello from Apple: Mission completed」というSMS通知を送ることを検討しましたが、ファイアウォールがこの可能性を遮断しました。直接の通信チャネルが閉ざされていたため、ユーザー自身に私たちへの連絡を開始させなければなりませんでした。そのため、「リンゴ」にはスパイ機能も破壊機能も持たせず、その役割は純粋にデモンストレーション目的でした。
「リンゴ」の機能は意図的にシンプルですが効果的でした。
- 挨拶メッセージと状況説明が書かれたテキストファイル C:\ap.txt を作成する
- 利用可能なすべてのウィンドウとボタンのタイトルを「See C:\ap.txt」というフレーズに変更する
このアプローチにより、ユーザーが異常に気づき助けを求める可能性が高まりました。メッセージには「このソフトウェアを正しく削除するには、…に連絡してください」という指示も含まれており、誤って削除した場合の潜在的な脅威のような錯覚を生み出し、連絡をさらに促進しました。
実際には、削除はシステムにリスクを与えることなく標準的なツールで行うことができました。KAVが存在することを考慮すると、隠れたレジストリ書き込みが傍受される可能性があったため、私は隠れたインストールメカニズムだけでなく、ペイロードの即時強制起動も実装しました。これによりステルス性は低下しましたが、アクティブな保護が存在しても実行が保証されました。
「落ちたリンゴ」手法の実践
完成したイメージはUSBドライブに書き込まれました。残るは、デバイスが最大限の注意を引くようにデザインすることだけでした。同僚と議論した結果、「Apple」という簡潔でありながら興味をそそるラベルに落ち着きました。これで十分に興味を引くことができました。
当初の計画は、組織の敷地内に入り、トイレの窓辺にドライブを置くというものでした。しかし、このアプローチの信頼性には重大な疑問がありました。規程によれば、発見された物品はシステム管理者に引き渡さなければなりませんが、実際にはシナリオはさまざまです。
管理された結果の可能性を高めるために、私は小さなトリックを使いました。警備員と調整し、指定された窓辺で見つかったとして、ドライブをシステム管理者に直接渡してもらうようにしました。当日、私は組織に到着し、すべての詳細を調整し、必要なアクションを実行し、家に戻って数日間フィードバックを待ちました。
残念ながら、システム管理者は自ら連絡をしてきませんでした。そこで、私自身が彼に連絡し、何が起こったのか詳細を確認しました。結局、警備員は確かに管理者にドライブを渡し、管理者はオートランが無効になっていないMS Windowsを実行しているコンピュータにそれを挿入し、インストーラーは正常に起動しました。しかし、強制起動の段階で、侵入検知システム（IDS）が作動しました。疑わしいアクティビティを検出し、スクリプトのさらなる実行をブロックしたのです。
失敗の主な理由はペイロードの動作パターンでした。それらはIDSにとって疑わしく見え、潜在的に危険なものとして分類されました。2026年の環境では、最新の保護システムはシグネチャだけでなく行動パターンも積極的に分析するため、比較的无害なアクションでもセキュリティルールがトリガーされる可能性があります。
結論
この実験は、2つの明確な結果をもたらしました。
- 「落ちたリンゴ」手法の原理が確認されました。 デバイスはターゲット環境に到達し、オートランが作動し、インストーラーが実行を開始しました。
- 侵入検知システムは異常をタイムリーに特定し、攻撃の発生を防ぎました。
このように、配信とアクティベーションのメカニズム自体は機能しましたが、2026年の最新のセキュリティ対策は、このようなデモンストレーションシナリオでさえ効果的にブロックすることができます。
最終的な考察： ペイロードを特定のインフラストラクチャに適切に適応させ、行動パターンを注意深く調整すれば、この手法の成功率は大幅に向上します。一方で、この実験は、従業員が見つけたデバイスを使用しないようにするだけでなく、このような発見に正しく対応するように訓練することの重要性を明確に示しています。
追伸： 「落ちたリンゴ」手法は、ソーシャルエンジニアリングテストの武器庫において依然として効果的なツールです。ペイロードがさらに難読化されていたり、ターゲット環境の特定のセキュリティソリューションを考慮してパッケージ化されていれば、2026年8月に検出されずに実行される可能性は大幅に高くなっていたでしょう。
キーワード
ソーシャルエンジニアリング, 落ちたリンゴ攻撃, USBドロップ攻撃, 物理ペネトレーションテスト, ペンテスト2026, ソーシャルエンジニアリング手法, トロイの木馬, USBベイティング, 侵入検知システム, セキュリティテスト, 物理セキュリティ, サイバーセキュリティ, レッドチーム, ペイロード配布, オートラン攻撃