休眠ドメインと放置されたコードを悪用し、正規サイトを配信網に変える
犯罪者は、使われなくなったドメイン名や放置されたプログラムコードを悪用し、数千の正規サイトにiPhone攻撃用のプログラムを紛れ込ませた。サイバーセキュリティー企業Report URIの創業者兼最高経営責任者（CEO）、ヘルムが明らかにした。Report URIは攻撃活動を発見し、iVerifyと協力して調査を進めた。
少なくとも6600サイトが悪用され、248サイトがスパイウェアを直接配信
攻撃者がマルウェアを配信した正規サイトは、少なくとも6600件に上り、月間アクセス数は合計4900万件だった。6600サイトのうち248サイトには月間合計800万人が訪れ、iPhone向けスパイウェアを直接配信する「配信網」となっている。残るサイトを訪れた人は、さまざまな迷惑サイト（スパムサイト）へ転送されているとヘルムは説明する。
DeadTag、他の犯罪者に不正コンテンツの配信機会を販売している可能性
ヘルムは、自身が「DeadTag」と名付けた集団が、侵害に気づかず正規サイトを訪れた人々へ、他の犯罪者が望む悪質なコンテンツを配信できる機会を販売しているとみている。DeadTagは不正コードを仕込んだ新しいドメイン名を毎週最大10件用意しているという。
Report URIは侵害されたサイトへの通知を試みているが、対象が多いため難航している。ヘルムは、より効果的に通知できるよう、各国のサイバーセキュリティー機関に協力を求めている。
犯罪者は流出したとみられる攻撃ツールで、未更新のiPhoneを狙う
ヘルムによれば、DeadTagの顧客には、iPhoneへの侵入を専門とする犯罪集団も含まれている。犯罪集団は、国家の情報機関がiPhoneへの侵入に使っていたとみられ、後に流出した2種類のiPhone侵入用ツール「攻撃ツールキット」を使用している。サイバー犯罪者は2026年春から両ツールキットを使っている。
修正済みの欠陥に代わり、iOSの未修正の脆弱性を突くコードも準備
アップルは、過去の攻撃で両ツールキットが悪用した脆弱性（セキュリティー上の欠陥）をすでに修正している。攻撃者がOSを更新していないiPhone利用者を意図的に狙うのは、修正前の脆弱性が端末に残っているためだ。ヘルムはさらに、攻撃者がiOSの新たな未修正の脆弱性を突くコードへ切り替える準備をしている証拠も見つけた。
アップルとメタは回答せず、攻撃者の出自も特定できていない
米東部時間2026年10月22日の公開時点で、アップルとインスタグラムを運営するメタ（Meta）はコメント要請に回答していなかった。
DeadTagの攻撃者と顧客の出自について、コールもヘルムも確証を得ていない。ただし、攻撃に使われたプログラムコードは中国語で書かれていた。フォーブスは、攻撃者が利用した複数のドメインについて、中国に拠点を置くウェブセキュリティーサービスを使い、外部からのサイバー攻撃を防いでいた証拠も確認した。
