ブロックチェーンセキュリティ企業のスローミスト（SlowMist）は24日、iOSの脆弱性を突く攻撃ツール「DarkSword」に関連するフィッシングサイトを1,500件以上確認したと、Xで明らかにした。同社の脅威監視システム「MistEye」による分析で、ECサイトや大手取引所、仮想通貨ウォレット、ゲームサービスなどを装って利用者を誘い込んでいるという。同社はiPhoneとiPadの利用者に、iOSを速やかに更新するよう呼びかけた。
DarkSwordは、iOSに存在した6つの脆弱性（ソフトウェアの欠陥）を組み合わせ、アプリを隔離する仕組み（サンドボックス）を抜けて端末内の情報を盗む。狙うのは、キーチェーン（パスワードの保管機能）の認証情報や、端末に保存されたウォレットの秘密鍵、メモのデータなどだ。細工されたページをSafariで開くだけで攻撃が始まる。グーグルの脅威インテリジェンスグループ（GTIG）と、セキュリティ企業のiVerify、Lookoutが3月に公表し、その後コードがインターネット上に流出した。
スローミストは10月19日、稼働中の攻撃サーバーを分析した報告書も公表している。管理画面には30日間で2万187件のページ閲覧と1,187件の侵入の試行が記録され、成功した10件のうち9件はデータの持ち出しまで進んでいた。攻撃が成立するのは、iOS 18.6から18.7.2と、iOS 26.0から26.1だという。
ほかのセキュリティ企業も新たな手口を報告している。iVerifyは10月8日、金融機関の職員のiPhoneで見つかった亜種「P7 DarkSword」を公表した。米Censysは攻撃用サーバーを調べ、写真やメモに保存されたシードフレーズ（ウォレットを復元するための単語列）を探し出す機能を確認した。Malwarebytesによれば、9月には新型iPhoneの予約販売を装った偽サイトも見つかっている。
アップルは、DarkSwordが悪用した脆弱性をiOS 26.3までにすべて修正した。iOS 18を使い続ける端末向けにも、4月1日にiOS 18.7.7の配信対象を広げている。更新は設定アプリの「一般」から「ソフトウェアアップデート」で行える。スローミストは、ウォレットの認証情報やシードフレーズをメモに保存しないよう求め、不審なアプリにも注意を促した。更新前の端末で不審なページを開いた覚えがある場合は、そのページを開いていない別の端末で新しいウォレットを作り、資産を移すよう勧めている。