Apple IDの2段階認証ではiCloudに保存された写真を保護できない

9月1日に起きたiCloudの不正アクセス事件。有名なハリウッド女優や歌手など多数のiCloudが不正アクセスされ、プライベート写真が流出していしまいました。

事件後、iCloudへの不正アクセスの対策として広く紹介されているのがApple IDの2段階認証ですが、実はiCloudにアップロードされた写真を盗むのを防ぐための対策としては何の役にも立ちません。

Apple IDの2段階認証で保護されているのは、未承認デバイスでの有料アプリの購入など

米Techcrunchが報じているとおり、Apple IDの2段階認証で防げるのはMy Apple IDにてApple IDに登録している情報を変更するときや新しいiOSデバイスでアプリや音楽を購入するときなどとなっており、iCloudへのアクセスについては何も記載がありません。

Apple ID の 2 ステップ確認とは？

2 ステップ確認は、たとえ Apple ID のパスワードを盗まれてもアカウントに不正アクセスしたりアカウントを悪用したりできないようにするための追加のセキュリティ機能です。

2 ステップ確認を有効にすると、以下のことをする際にいずれかのデバイスを使って本人確認することが必要になります。

・My Apple ID にサインインして Apple ID を管理する。
・新しいデバイス上で iTunes Store、App Store、iBooks Store から何かを購入する。
・Apple ID 関連の問い合わせをする。

引用元：Apple ID の 2 ステップ確認についてよくお問い合わせいただく質問 (FAQ)

「か、肝心なところが防げてねーじゃん・・・　ホントかよコレ？」と疑問を感じてしまうワタクシ。

だって、アップルは今回のiCloudの不正アクセス事件について声明を発表していて、Apple IDの2段階認証の利用をすすめているのにiCloudが保護されていないとかちょっと信じ難いですよね・・・

To protect against this type of attack, we advise all users to always use a strong password and enable two-step verification. Both of these are addressed on our website at http://support.apple.com/kb/ht4232.

引用元：Apple – Press Info – Apple Media Advisory

ホントに2段階認証でiCloudが保護されていないのか試してみた

実際にこの目で見るまではということで、試してみることにしました。

用意したのはリセットを行って完全に初期化したiPad。このiPadを使って自分のiCloudアカウントにアクセスしたいと思います。


まずは、iPadのセットアップを行います。

「新しいiPadとして設定」を選びます。

既にiPhoneやMacで使用しているApple IDでサインインします。

「iCloudを使用」を選択します。

引き続きセットアップを行って初期設定を完了させます。

まずは、有料アプリを購入します。すると、購入手前で本人確認の画面が表示され、2段階認証が正常に動作していることがわかります。


次に写真アプリを起動します。

「アルバム」タブを選択すると、iCloudにアップロードされている写真などが表示される「自分のフォトストリーム」が表示され、アルバムを開くとiPhoneで撮影した写真などが確認できてしまいました・・・


2段階認証がiCloudの保護のために動くのであれば、セットアップ時または写真アプリの起動時に有料アプリの購入時のような本人確認を求められるはずですが、一切、本人確認を求められることはありませんでした。

ということで、Techcrunchが指摘するとおり、Apple IDの2段階認証でiCloudに保存されている写真を保護することは不可能であることがわかりました。

ちなみに、iCloudには写真以外にもiPhoneやiPadのバックアップデータを保存することができ、バックアップデータについても同じように保護することはできません。バックアップデータには端末に保存していた写真のほかにインストールしていたアプリやアプリに登録していた情報なども含まれているため、そちらの方が危険ですね・・・

iCloudのデータが漏れないようにするための有効な対処方法は？

じゃあどうやって対策したらいいのか？ということですが、やはりApple IDで使っているメールアドレスとパスワードを漏れないようにするのが最も有効で唯一の方法ではないでしょうか。

パスワードの使い回しは厳禁。また、面倒ではありますが、パスワードは複雑なものにしておきましょう。

最悪、iCloudが不正アクセスされた時のために、iCloudに保存しているバックアップファイルを削除したり、iCloudへの写真の自動アップロードを解除するのも有効な対処方法だと思います。実質的にiCloudを利用しないことになりますが・・・

▼iCloudへの写真の自動アップロードを解除する方法はこちらからどうぞ
iPhoneで撮影した写真がiCloudに自動アップロードされるのを解除、停止する方法