ジョージメイソン大学の研究者たちは、Appleの「Find My」ネットワークに深刻な脆弱性があることを発見したと主張しており、これによりハッカーは所有者の知らないうちにほぼすべてのBluetooth対応デバイスを追跡できるとしています。この脆弱性「nRootTag」は、普通のBluetoothデバイスをAirTagのように扱わせ、ラップトップやスマートフォン、ゲームコントローラー、VRヘッドセット、さらにはeバイクまで無自覚な追跡ビーコンに変えてしまいます。
「Find My」は、AirTagや他のFind My互換アイテムが近くのAppleデバイスにBluetooth信号を送信し、その後匿名で位置情報をAppleのサーバーに中継することで機能します。研究者たちは、暗号鍵を操作することで、任意のBluetoothデバイスを正当なAirTagとして認識させることができることを発見しました。この攻撃は90％の成功率を持ち、数分でデバイスの位置を特定できるといいます。
この攻撃は、物理的なアクセスや管理者権限を必要とせず、リモートで実行可能です。実験では、チームは静止しているコンピュータを1メートルの精度で追跡し、飛行機に持ち込まれたゲームコンソールの正確な飛行経路を再構築することにも成功しました。ただし、相応の計算リソースが必要であり、研究チームは迅速に暗号鍵を見つけるために数百のグラフィックプロセッシングユニットを使用しましたが、これはレンタルすることで比較的安価に実現可能です。
研究チームは2024年7月にAppleにこの脆弱性を通知し、Appleは2024年12月のソフトウェア更新でこれに対する対策を講じたとしています。しかし、Appleが修正を行った後でも、多くのユーザーがデバイスの更新を怠るため、脆弱性は数年間にわたり存続する可能性があると警告しています。
研究は、2024年8月にUSENIX Security Symposiumで正式に発表される予定で、ユーザーに対してBluetoothの権限を要求するアプリに注意し、デバイスを最新の状態に保つよう推奨しています。また、プライバシーに配慮したオペレーティングシステムを考慮することも提案されています。
