ロシア、ドイツ政府関係者へのSignalフィッシング攻撃の首謀者として非難される

ドイツは、連邦大臣、連邦議会議員、外交官を含む数百名のハイプロファイルな標的のSignalアカウントが侵害された後、巧妙なフィッシングキャンペーンをロシアの国家支援アクターによるものと公式に認定した。ドイツ連邦検察庁は正式なスパイ活動捜査を開始し、この事件を近年のドイツ政治家を標的とした国家支援型サイバー侵入の中でも最も重大なものの一つと位置づけている。

この攻撃はSignalの暗号化を破ったわけではない。代わりに、はるかに修正が困難なもの、すなわち人間の信頼を悪用したのだ。

Signalフィッシング攻撃の手口

攻撃者はSignalのサポートスタッフになりすまし、偽のメッセージを送ることで標的にアカウントの認証コードを渡すよう誘導した。そのコードを手に入れた後、ハッカーは被害者のSignalアカウントを攻撃者が管理するデバイスにリンクさせることができ、アプリの基盤となる暗号化を一切解読することなく、リアルタイムで個人の会話や連絡先リストへの完全なアクセスを獲得した。

この手法はリンクデバイスハイジャックと呼ばれ、特に危険である。なぜなら、Signalはその設計上、アカウントがリンクされた後はメッセージを読むためにパスワードを必要としないからだ。ジャーナリスト、活動家、政府関係者の間でSignalへの信頼を支えている暗号化は、攻撃者がリンクされたデバイスを制御した瞬間に事実上回避されてしまう。

ここからの教訓はSignalが安全でないということではない。どれほど優れた設計であっても、認証情報を騙し取られたユーザーを保護できる単一のセキュリティツールは存在しないということだ。

暗号化アプリだけでは十分でない理由

この攻撃は、本来知っているべき専門家を含む多くの人々がデジタルセキュリティについて考える際の重大な盲点を浮き彫りにしている。暗号化メッセージングアプリは通信中のデータを保護する。しかし、ソーシャルエンジニアリング、侵害されたエンドポイント、アカウントレベルの操作からは保護しない。

国家支援型の脅威アクター、特に豊富なリソースと粘り強い作戦遂行能力を持つ者は、技術的なレイヤーが突破困難であるがゆえに、まさに人間のレイヤーを標的にする傾向がある。最新の暗号化を破るよりも、誰かを騙して認証コードを渡させる方がはるかに容易だからだ。

だからこそセキュリティの専門家は、単一のツールへの依存ではなく、多層防御を一貫して推奨している。追加の保護レイヤーごとに攻撃者は一つ多くの障壁を乗り越えなければならなくなり、実際には大半の攻撃者が堅固な標的にリソースを費やすよりも、より容易な標的へ移行することを選ぶ。

あなたにとっての意味

この記事を読んでいる多くの人はドイツの連邦大臣ではないだろう。しかし、このキャンペーンで使用された手口は、高い価値を持つ政府標的にのみ固有のものではない。人気のあるアプリやサービスになりすましたフィッシング攻撃は、一般ユーザーが直面する最も一般的な脅威の一つであり、Signalのなりすましは過去2年間で複数の国々において記録されている。

ドイツの事例が、機密通信に暗号化メッセージングを利用するすべての人に明確にしていることは以下の通りだ：

認証コードはあなたのアカウントの鍵である。 Signalを含むいかなる正規のサービスも、チャットメッセージやメールで認証コードの共有を求めることは絶対にない。誰かが求めてきた場合、その要求は詐欺であり、それ以上でも以下でもない。

リンクされたデバイスは実際の攻撃対象となりうる。 SignalアカウントにリンクされたデバイスをSettings内の「Linked Devices」で定期的に確認することは約30秒で完了し、重大な被害が生じる前に不正アクセスを発見できる。

二要素認証は意味のある障壁を追加する。 Signalには登録ロック機能があり、新しいデバイスでアカウントを再登録する前にPINの入力を求める。これを有効にすることは、最もシンプルかつ効果的な対策の一つだ。さらに広く言えば、すべてのアカウントの2FAにSMSではなく認証アプリを使用することで、攻撃者によるアカウント乗っ取りのコストを大幅に引き上げることができる。

デバイスのセキュリティはアプリのセキュリティと同様に重要だ。 Signalを動作させるデバイスがマルウェアや物理的なアクセスによって侵害された場合、暗号化はほとんど保護を提供しない。オペレーティングシステムを常に最新の状態に保ち、強力なデバイスPINや生体認証を使用し、サイドロードアプリを避けることで、このリスクを大幅に軽減できる。

ネットワークレベルの意識も重要だ。 信頼できない公共ネットワーク上で機密アカウントにアクセスすることは、追加のリスクを生み出す。自分が管理していないネットワーク上にいる場合、信頼できるVPNはトラフィック傍受のリスクを軽減できるが、それは完全な解決策ではなく、複数の層の中の一つに過ぎない。

より大きな視点から

ドイツでのSignalフィッシング攻撃は、世界最強の暗号化であっても、セキュリティ意識の文化の欠如を補うことはできないという事実を改めて示している。巧妙な国家アクターが国会議員や外交官を標的とした粘り強い標的型ソーシャルエンジニアリングキャンペーンに投資する意志を持っているとき、機密性の高い個人情報や業務情報を扱う一般ユーザーも、リソースの規模は異なるものの、同様の脅威に直面している。

対応策はパニックではなく、Signalのようなツールを放棄することでもない。Signalは依然として利用可能な最も安全なメッセージングオプションの一つだ。対応策は、ソーシャルエンジニアリングを困難にする習慣と多層防御を構築することだ。リンクされたデバイスを確認し、登録ロックを有効にし、求められていない認証コードの要求を自動的に危険信号として扱い、セキュリティ態勢を単一のアプリがすべての作業を行うものとしてではなく、重複する複数のセーフガードの連なりとして考えよう。