#1610: ハックされた電子メール詐欺を防ぐ、既知の AirTag の警告を無効化、バッテリーテクノロジーの技、パスワード不要のログインへの業界対応

単刀直入に言って、パスワードって最悪だ。私たちが出したばかりの長い記事 (2022 年 5 月 5 日の記事“メールがハックされ詐欺メールを送るのに使われた友人を助ける方法”参照) の中でも、そもそもそのような電子メール詐欺が存在し得る理由は、あまりにも多くの人たちが弱いパスワードを使い、しかもそれを複数のサイトにわたって使い回ししているからこそだ。いったいなぜ私たちはパスワードの代わりに、Touch ID や Face ID のような高度な生体認証をもっと広く使わないのだろうか？ ただ、来年中にそれが実現するかもしれない。それは Apple、Google、Microsoft が FIDO 標準に対応してパスワード不要のログインを実現すると約束しているからだ。

ある意味では、これら 3 社は既に FIDO Alliance の標準に対応していてパスワード不要のログインを有効化できる状態にあるのだが、今回の発表はその機能を拡張して、アカウントごとに再登録する必要なしに複数のデバイスの上で FIDO パスキーへの自動アクセスを提供し、1 台のモバイルデバイス上の FIDO 認証を利用して、使用している OS プラットフォームやブラウザを問わずに、近くにあるデバイス上でアプリやウェブサイトにサインインできるようにするのだと述べる。

去年、Six Colors の記事で Dan Moren が、WWDC 2021 にてテクノロジー・プレビューとしてお披露目された Apple の Passkeys システムについて論じた。それを読めば、この新しいパスワード不要の認証の動作方法について Apple がどう考えているかを垣間見ることができる。簡潔に言えば、ユーザーがインターネット上のアカウントにサインアップする際、ユーザー名のみを作成すればよい。すると Passkeys がパスキーを作成し、それをユーザーのキーチェーンに保存する。インターネットサービスが取り込むのはそのユーザーのユーザー名と公開鍵のみだ。あとでそのユーザーがサインインしたいと思えば、Passkeys がすべきことはただそのデバイスが対応する秘密鍵を持っていると証明することだけで、それはユーザーに Touch ID または Face ID を使っての認証を求めることで実行される。そこで考えられる疑問は、ユーザーがデバイスを紛失した場合に誰か別の人のデバイスを使ってサインインすることができなくなるのではないかという点だが、その種のことは実装上の詳細に属するのだろう。

うまく行けば、来たるべき macOS 13、iOS 16、iPadOS 16、watchOS 9 のリリースに伴って私たちも Passkeys が (それが Apple が最終的に使う名前かどうかは知らないが) 現実に実装されるところを目にするのかもしれない。プレスリリースは次のように言っている：

これらの新機能は、来年中には Apple、Google、Microsoft のプラットフォームで利用できるようになる予定です。

早過ぎて困ることはない。パスワードをやっつけろ！

討論に参加

Apple は Find My システムを賢く設計して、あなたが未知の AirTag と一緒に移動していることを探知すれば iPhone から警告が出るようにした。けれども残念ながら、友人や家族の AirTag をそれと分かって携帯している場合にも警告が出てしまう。私は妻の車を使うことがよくあって、妻の鍵を借りるのだが、鍵束に AirTag が付いているので、AirTag の警告を受けてしまう。

Apple はこの種の望まない警告を停止する方法のヒントをほのめかしている...

可能性としては、借りたものに AirTag や「探す」ネットワーク対応アクセサリが付いていたり、ほかの人の AirPods を借りている場合にこの通知が表示されたりすることが考えられます。AirTag や「探す」ネットワークに対応したその他の持ち物をファミリー共有グループのメンバーから借りる場合は、その持ち物について 1 日または無期限で通知を停止できます。

...でも、具体的にどうやって止めるのかは書いていない。そこで私はあらためて妻の車を借りてあちこちで用事を済ませつつ、どうやれば止められるのかを見つけようとした。

おかしなことに、2 時間ほど妻の AirTag と一緒に走り回ったのだが、家に戻るまで警告は出なかった。つまり、もしも妻がストーカーだったなら私が帰宅するまでずっと追跡できていたということだ。ありがたいことに、私たちは同じ家に住んでいるのだが。

いったん "AirTag Found Moving With You" (あなたが所持中の AirTag が見つかりました) という警告が出れば、通知をタップして Find My アプリの中でその AirTag を表示させてから、Pause Safety Alerts をタップすれば、その特定の AirTag に関する警告が出ないようにできる。

残念ながら、私の目の前に示されたのはその日一日中警告を止めるオプションのみで、無期限で通知を止めるオプションは表示されなかった。もしもどなたかこれを試してみて、無期限で止めるオプションが表示されたなら、どうぞお知らせ願いたい。何が違うのかを調べてみたいから。

討論に参加

モバイルデバイスの最も重大な制約は電力だ。エンジニアたちはありとあらゆる方法を見つけてチップにより多くのトランジスタを詰め込もうとするのに、バッテリーは物理的な壁にぶち当たっており、Apple などハードウェアメーカーはやむなくその制約を回避するための創造的な手法を発明せざるを得ない。

そこに内在する問題は、リチウムイオン電池 (現在最適とされているバッテリー化学) があまり安定したものでない点だ。ニッケルカドミウム電池のような古いテクノロジーに比べれば許容度が大きいけれども、次のような要因によってリチウムイオン電池の耐用年数は簡単に短くなってしまう：

• バッテリーを完全に電池切れ状態にする
• バッテリーを 100% 満充電の状態で放置する
• バッテリーを高温にする

意識しているといないにかかわらず、ユーザーたちはバッテリーに対して相反する欲求を持つ。短期的には、デバイスは常に充電されていてすぐに使える状態であって欲しい。思ったより早く電池切れになって使えなくなるほどフラストレーションが溜まることはないだろう。でも長期的には、バッテリーができるだけ長くその能力を維持していて欲しい。デバイスを使い続けられるようにするためにバッテリーを交換しなければならないとなれば、費用もかかるし厄介な手間もかかる。

これらの相反する欲求を両方とも満たすために、Apple は一見相反するように見える２つのテクノロジーを開発した。「高速充電」はその言葉の通りのもので、「最適化されたバッテリー充電 (Optimized Battery Charging)」は実際バッテリーをゆっくりと充電しようとするものだ。

高速充電

いくつかの Apple デバイス、特に重要なものとして iPhone 8 とそれ以降、USB-C モデルの iPad、それと 14 インチおよび 16 インチモデルの MacBook Pro は、高速充電に対応している。これで、バッテリー容量 50% までの再充電を 30 分で済ませられる。

高速充電は十分に強力な充電器と、適切なケーブルを必要とする。ワイヤレスの MagSafe や Qi 充電器では動作しない。それぞれの種類のデバイスで必要なものは次の通りだ：

• iPhone： 少なくとも 18 ワット (iPhone 12 の場合は 20 ワット) の USB-C 電源アダプタで USB Power Delivery (USB-PD) に対応するもの、および USB-C to Lightning ケーブル
• iPad： 少なくとも 30 ワットの USB-C 充電器と USB-C ケーブル
• 14 インチ MacBook Pro： 少なくとも 96 ワットの電源アダプタ、および Thunderbolt、USB-C、または MagSafe 3 ケーブル、あるいは 94 ワットの給電能力がある外付けディスプレイへの Thunderbolt 3 または USB-C 接続
• 16 インチ MacBook Pro： 140 ワット電源アダプタ、および USB-C to MagSafe 3 ケーブル

高速充電は、アダプタからデバイスへより多くの電力を送ることで働く。けれども大いなる力には大いなる責任、いや発熱が伴う。この発熱の結果として、高速充電をするとバッテリーの劣化を早めると考える人たちもいる。しかしながら Marques Brownlee は、高速充電がバッテリーの耐用年数に影響を持つとしてもそれは通常大した違いではない、発生する熱量を抑えるためのさまざまのテクノロジーが働いているからだ、と説明する。

でも、そもそも高速充電はバッテリーを 50% まで充電するだけだ。それより上を利用しつつ、長い時間にわたり 100% 満充電の状態に置かれることのないようにするために、Apple は「最適化されたバッテリー充電 (Optimized Battery Charging)」という機能を開発した。

最適化されたバッテリー充電

バッテリーを 100% 満充電の状態に保つのは望ましくないが、ユーザーたちは一日の初めにバッテリーを 100% にしておきたいと思うものだ。Apple はそこのところでどうバランスを取るのか？ iOS 13 および macOS 10.15.5 Catalina 以降で、Apple はバッテリーの寿命を伸ばすために最大充電量を抑える機能をいくつか提供してきた。その最初のものが、最適化されたバッテリー充電 (Optimized Battery Charging) だ。

Optimized Battery Charging は、機械学習を使ってあなたがいつどこでデバイスを充電するかを推測し、100% まで充電する必要があると推測できるとき以外はバッテリーの充電を 80% までに抑えるようにする。

TidBITS Talk の議論の中で、David C. が Optimized Battery Charging について素晴らしい技術的説明をしてくれた：

Apple の最適化されたバッテリー充電はこれの変化型と言える。バッテリーの充電がおよそ 80% に達するまでは、定電流で充電する。その後は、固定された電圧で定電圧充電をする代わりに、動的に電圧を選んで、デバイスが充電器から取り外されるだろうと推測されるより少し前に 100% に到達するように調整する。例えば、もしあなたの使用履歴が毎朝 8:00am に充電器から外されることを示唆していれば、定電圧の充電ならば 2:00am に 100% に到達するところを、5:30am に 100% に到達しようと試みる。

理論的には、あなたがこの機能に気付くことはまずないだろう。あなたが眠っている間にすべてなされるからだ。サポート記事“iPhone の「最適化されたバッテリー充電」について ”の中で、Apple はこう述べている：

iPhone はオンデバイスで機械学習機能を使い、毎日の充電の傾向を把握するので、iPhone がある程度長い時間、充電器に接続されるだろうと予測されるときにしか「最適化されたバッテリー充電」は働きません。充電器から外した時点で、iPhone がフル充電されている状態にしておくことが、このアルゴリズムの狙いです。

「最適化されたバッテリー充電」は、自宅や職場など、普段長い時間を過ごす場所でしか働かないようになっています。旅行中など、使用傾向が普段と違って流動的な場合は働きません。

Optimized Battery Charging 機能が位置情報に依存して動作していることは、iPhone 上で以下の設定がすべて有効になっていないと働かないことから見て取れる：

• Settings > Privacy > Location Services > Location Services
• Settings > Privacy > Location Services > System Services > System Customization
• Settings > Privacy > Location Services > System Services > Significant Locations > Significant Locations

iPhone 上で Optimized Battery Charging が有効になれば、スクリーン上に通知が表示される。そうなるのを避けてバッテリーをフル充電したければ、通知をタッチしてそのまま押さえ続け、Charge Now をタップする。あるいはまた、Settings > Battery > Battery Health で Optimized Battery Charging をオフに切り替えることもできるのだが、いつも一日の初めにフル充電になっていなくて困るのでない限りたぶんオフにしない方が良い。

Mac ラップトップ機での Optimized Battery Charging の動作は少し違う。普段ほとんど電源に繋いだままにしている場合は、バッテリーが長時間 100% のままになることを防ごうとする。メニューバーのバッテリーアイコンをクリックすると、Charging on Hold (充電保留中) と表示されることがある。その場合、Charge to Full Now (今すぐフル充電) を選べば Optimized Battery Charging 機能を使わずに残りの充電が進む。

この機能をオフにするには、System Preferences > Battery > Battery へ行き、Optimized Battery Charging のチェックを外す。無期限に無効化することも、あるいはその日のみ無効化することもできる。ここでも、いつもこの機能を具合が悪いと感じているのでない限りたぶんオフにしない方が良い。

私たちの知る限り、iPad は Optimized Battery Charging 機能に対応していない。

バッテリーの状態管理

最適化されたバッテリー充電 (Optimized Battery Charging) 機能以外に、iPhone や iPad にはデバイスが電源に繋がれている場合にバッテリーの最大充電容量を一時的に引き下げる充電管理機能がある。Apple は次のように述べている：

iOS 11.3 以降を搭載した iPad や、iOS 12 以降を搭載した iPhone XS、iPhone XS Max、iPhone XR には、バッテリーの状態を管理する充電管理機能が備わっており、デバイスが上記のような充電状況で使われている時もその状態を監視し、必要な場合にはバッテリーの最大容量を自動的に引き下げるように設計されています。バッテリーの残量表示には、この調整後の最大容量を基準にした充電残量が表示されるようになります。この最大容量は、iPad や iPhone が長期間電源に接続された状態でなくなれば、状況やバッテリーの状態が許す限り、元通りの値に戻ります。

iPhone と iPad では、自動的にこの充電管理機能が働き、オフに切り替えることはできない。

Apple は Mac におけるこれと類似の機能を「バッテリーの状態管理」と呼んでいる。動作のしかたは M1 ベース Mac と Intel ベース Mac で少し異なる。M1 ベース Mac では、macOS がバッテリーの最大容量を一時的に抑えることでバッテリーの耐用年数を延ばそうとする：

バッテリーの状態管理は、化学的経年劣化の進行を遅らせて、バッテリーの耐用年数を延ばすことを狙いとした機能です。バッテリーの温度の履歴や充電バターンを観察して、その目的を果たします。

収集した測定値に基づいて、バッテリーの最大充電量が一時的に抑えられる場合があります。これは、バッテリーが日頃の利用状況に即して最適な量だけ充電されるように適宜行われるもので、バッテリーの損耗を抑え、化学的経年劣化を遅らせます。

M1 ベース Mac ではこの機能をオフにすることができないが、Intel ベース Mac では System Preferences > Battery > Battery > Battery Health (バッテリーの状態) へ行って Manage Battery Longevity (バッテリーの寿命を管理) のチェックを外せばオフになる。ここでもやはり、通常はオフにすることをお勧めしないが、特定の場合にこの機能のせいで必要な充電レベルに達しない場合にはオフにする意味もあるかもしれない。

結びに、バッテリーのテクノロジーの進化がデバイスの持つ計算能力の進化に追い付いていないのはとても残念なことだが、Apple がデバイスの処理能力の一部を使って現状のバッテリーにできることを最大限に引き出そうとしているのは嬉しいことだ。

討論に参加

今年出回っているメールベースの詐欺にご注意を！ １月以来、私は３回標的にされたことがあるので、その話を共有したいと思う - あなたがその詐欺の犠牲となるのを避けのを手助けし、そして彼らのメールアカウントがハックされた友人、知人により良く警告出来るようにするためである。

まず、もう一度警鐘を鳴らさせて欲しい：もしメールのパスワードが強くそして独自であれば、これらの人の誰もが問題には遭遇していないであろう。もしメールパスワードを使い回しているのであれば、或いはそれが短くそして簡単に推測出来るものであれば、今すぐ読むのを止めて それを変えるべきである。

皆さんの新しいパスワードは少なくとも 13 の本当に無作為な文字 (例えば iR82dGlQf3&@C の様な)、少なくとも 28 文字の一般的な言葉をハイフンでつないだもの (古典的な correct-battery-horse-staple の様な)、或いは、自分には意味のある数字 (日付の様な) と文字 (頭文字の様な) との組合せで生成することも出来る。皆さんの選択が何であれ、それは強くそして独自でなければならない。そして、もしパスワードマネジャーを使っていないのであれば、皆さんは時間を無駄にしていて、安全でない可能性が高い。

詐欺はどの様に進行するか

私が受け取った詐欺メッセージは私とは余り接点のない人から来た - John は近くの町からの走者で、以前私が企画した陸上競技大会に参加したことがあった。私はゼッケン番号を付与しそして全てのレースを発表するので、彼の名前は、彼からメールを受け取っても驚かない程度には見覚えがあった - 我々は 2021 年に次の陸上競技大会について一度やり取りをしたことがある。しかし、以前に一度やり取りしただけで、私は彼のメールのスタイルに関する知識はなく、彼の最初のメッセージが私の頭の中で警鐘を発することはなかった。

私はこの最初のメッセージに一般的な返事をした - New York アップステートの走者達が私に連絡をしてくる理由は色々ある - しかし、次のメッセージを受け取った途端にそれ等の警鐘は鳴り渡った。

ほんのちょっと知っているだけの人が私に Amazon アカウントを持っているかどうか尋ねてくる理由があるとはとても思えなかったし、それに、今時、持っていない人などいるであろうか？ 私は、究明モードに切り替えた。上記のメッセージから皆さんには分からないことは、送り手の名前は同じままだが、そのメールアドレスは windstream.net から yahoo.com へと変わっていたことである。Amazon アカウントについての奇妙な質問と合わせて、私は詐欺師と話しているのだとほぼ確信するに至った。その人はメールアドレス切替えを使って、John が彼のパスワードを変更して彼らのロックアウトした場合に備えて、私を彼ら自身のアカウントに導き入れようとしてしているように見えた。私はこの詐欺師と話を継続して、何を学べるか見てみることにした。

このメッセージを送った後、私は最近の陸上大会の登録から彼の電話番号を見つけ出して、テキストメッセージを彼に送った。幸いにも、最初のテキストで私は誰かを彼に知って貰えるだけの文脈を提供することが出来た。想像した通り、彼は今進行中のことについては何も知らず、その Yahoo アカウントは彼のものではないことを確認してくれた。

今や、私はこの詐欺はどんなものか好奇心がわいてきたので、私は懐疑的ではあるが、話は続けるふりをすることにした。更に１，２回のメッセージのやり取りの後、それは見えてきた - この詐欺師は私に $300 の Amazon ギフトカードを買って欲しい、代金は後で支払うと。はいはい、そうですね。

この間、私は windstream.net アカウントにだけ送信して、この詐欺師はアクセスを失うかどうかも見たいと思った。同時に、私は John とはテキストの裏ルートで連絡を取り続けた。彼によると、これらのメッセージは彼の Sent メールボックスには無く、私からのメッセージも彼の Inbox には無いとのことで、この詐欺師は何らかの方法でそれ等を即座に削除して証拠隠滅を図っているように見える。私は John が彼のパスワードを変えたものと思っているが、そうだとしても、それでこの詐欺師がはじき出されてはいないようだった。何故ならば、私が windstream.net に対して送ったメッセージに対して返信を受け取ったからである。

私は、Yahoo が、この詐欺師のアドレスと彼らが私に Amazon ギフトカードのために使って欲しいとしたアドレスの両方を閉鎖する事に興味を示すのではとのかすかな希望を抱いた。でも、[email protected] に警告しようとする私の試みは失敗した。その後、私は "Yahoo が支える POP 接続、TidBITS フォーマットエラーの原因に" (26 January 2022) で指摘した問題のあと勧められた Web フォーム経由で Yahoo に接触しようとしたが、そちらも同じ様にダメであった。

この頃までに、私はこの詐欺師と会話を続けるため更に幾つかのメッセージを交換したが、彼らはやがて諦めてしまった。そのメッセージ以降彼らから再びメッセージを受け取ることは無かった。

私は、この話を記事にする時間を直ぐには見つけられず、やがて忘れてしまった。しかし、一ヶ月後、それは再び現れた！ Vern はそれ迄私がメールを交換したことある相手ではなかったが、彼は近くにある私の故郷で優れた U-Pick ブルーベリー農場をやっていて、私が前にベリー摘みをした時に彼の来訪者名簿にメールアドレスを書き置いたのである。幸運にも、私は彼と連絡を取るための人物を知っていた - 私の父は昔郵便配達人をしていて、今でも町の多くの人を知っている。父は彼に電話をしてこの問題について知らせることが出来た。そして Vern は彼のパスワードを変更し、そして彼のメール連絡先全てに対してこの詐欺メッセージに返信しないよう警告した。面白いことに、今回は、Vern の本当のメールアドレスは Yahoo にあり、そしてこの詐欺師は返信を偽の Outlook アカウントに転送しようとしていた。

二ヶ月後、詐欺は再度私のメールに現れた。今回、この詐欺師はこの地区にいる老齢の走者を犠牲にしようとしているというものである。この場合、その前日に、私は Tom について彼と共に定常的に練習している他の友人と話していたので、Tom に彼のパスワードを変えるよう勧めてくれとその友人に頼んだ。

友人の助け方

皆さんがこれらのメッセージの一つを受けたとしよう。それ等は妙に一般的で、良く知った人からのものであれば、それが詐欺だと直ちに気付くであろう。或いは、私の二番目の例の様に、余り良く知らない人であれば、見知らぬ人ならその様な質問を決してしないであろうが故に詐欺は直ぐ分かるであろう。もしメッセージが私の最初と第三の例の様であれば、扱いにくい中間の存在となる。その様な場合、私はその人達をメールを貰ってもびっくりしない程度には良く知っているが、そのメッセージが偽物だと確信する程には良く知らない。

何れにしろ、もし確信が持てなくとも、返信すること自体には害は無い - ただ、飲み込まれない様に！ もしその返信 (或いは、その後に続くもの) が最初のものが発信された以外のアドレスに行こうとしていることに気付いたなら、それはあなたが犯罪の最中にいることを示すもう一つの兆しである。何が起こっているのかに気付いたら、次のことをすることをすることを... そしてしないことをお勧めする：

• パスワード変更を強く勧める： アカウントがハックされた人に対して、電話で、テキストで、或いは副となっているアドレスへのメールで、メールアカウントに対するパスワードを直ちに変えるよう言い、そして強い、独自のパスワードをパスワードマネジャーを使って生成するよう勧める。認識すべきは、詐欺師は犠牲者の主たるメールアカウントに対して全幅の支配力を持ち、そして全ての警告や悪行の証拠を削除するであろうことである。
• 他の連絡先に警告するよう背中を押す： アカウントがハックされてしまった人はその詐欺メッセージを誰が受け取ったのか恐らく言えないであろうが、前のメッセージは偽物で無視するべきだと全ての連絡先に警告するようその背中を押すべきである。また、彼らの連絡先でもパスワードを調べて貰うよう勧める - パスワードが余りにも弱く容易に破られてしまうような人の知人もまた弱いパスワードを持っていませんか？
• 詐欺に引っかからないように： 知らない人のために、ただ頼まれたからと言って、Amazon や他のギフトカードを買わないように。(もし誰かにお金をあげたいのであれば、TidBITS 会員になって。)
• スパムとしてマークしない： 詐欺師からの元々のメッセージをスパムとしてマークしたり、なりすましとして報告しない。覚えておくべきは、それは基本的にはまっとうなメールで、侵入されたアカウントから送られたものなので、それをスパムとマークすると将来本人からの本当のメッセージ迄もがフィルターされてしまう可能性がある。
• わざわざ詐欺師を報告する必要は無い： 悲しいかな、詐欺師を彼らが使っているメールサービスに報告しようとすることを私はお勧めしない。その目指す所は良いが、時間の無駄である可能性が余りにも高い。

犠牲者達に警告するのを容易にするため、例文メッセージを挙げておく。そのままテキストとして送っても良いし、彼らと話す時の台本として使っても良い：

どうも、あなたのメールアカウントはハックされ、私の様な連絡先に対して詐欺メッセージを送るのに使われているように見受けられます。あなたのメールパスワードを直ちに変えることをお勧めします。新しいパスワードは強くそして独自であるべきで、パスワードマネジャーを使うのが望ましいです。また、あなたの連絡先に対して詐欺メッセージは無視し、彼ら自身のパスワードも安全であることを確認するよう警告することもお考え下さい。

最後に、もし皆さんが Internet にあまり強くない友人をお持ちなら、これらの話を共有して欲しい。そうすれば、彼らも詐欺被害に遭ったり、アカウントに侵入されたりするのを避けられる可能性が高まるであろう。

討論に参加