Signal の暗号化は問題ない。狙われているのはユーザーだ。

Signal はプライベートメッセージングのゴールドスタンダードとして長年その評判を保ってきました。エンドツーエンド暗号化は数学的に堅牢で、コードはオープンソースであり、そのプロトコルは世界中のセキュリティ研究者から信頼されています。そのため、ロシアに関連するハッカーが著名なユーザーの Signal アカウントへの侵害に成功しているという報告が浮上したとき、自然と湧き上がる疑問は「Signal がハッキングされたのか？」というものです。

端的に言えば、答えはノーです。Signal の暗号化は破られていません。破られたのは、パッチを当てることがはるかに難しいもの、つまり人間の信頼です。

報告によれば、攻撃者は巧妙なフィッシングキャンペーンを使用し、Signal ユーザー自身にアカウントへのアクセスを許可させるよう誘導しています。その手口は通常、公式のものに見せかけた偽のセキュリティアラートを送りつけ、ターゲットに新しいデバイスをアカウントにリンクさせるというものです。それが実行されると、攻撃者は Signal のサーバーに一切触れることなく、また暗号化を一行も解読することなく、リアルタイムで被害者のメッセージのライブミラーを受け取ることができます。

これは重大な区別です。アプリは脆弱性ではありません。ユーザーの行動こそが脆弱性なのです。

攻撃の実際の仕組み

Signal には「リンクされたデバイス」と呼ばれる正規の機能があり、ユーザーは複数のスマートフォンやコンピューターから同時にアカウントにアクセスできます。攻撃者はこの機能を悪用し、悪意のある QR コードやリンクを生成します。それをスキャンまたはクリックすると、攻撃者のデバイスが密かに被害者のアカウントに追加されます。

フィッシングメッセージは緊迫感を演出するように設計されています。ユーザーのアカウントが侵害されたと主張したり、本人確認が必要だと告げたり、セキュリティアップデートに即時対応が必要だと促したりする場合があります。プレッシャーをかけられた重要なターゲットは、素早く行動しやすく、リクエストを注意深く精査しにくくなります。

一度リンクされると、攻撃者は何も復号する必要がありません。正規のリンクされたデバイスがそうするように、受信したメッセージをプレーンテキストのまま読み取るだけです。また、進行中の会話で被害者になりすますこともでき、ジャーナリスト、活動家、弁護士、政府関係者、その他機密性の高いやり取りを行う人々にとって深刻な影響をもたらします。

この種の攻撃は、ソーシャルエンジニアリング攻撃、または正規アクセスを通じたアカウント乗っ取りと呼ばれることがあります。ゼロデイエクスプロイトも、サーバーへの侵害も、暗号技術の魔法も必要ありません。必要なのは、ターゲットが一度でもミスを犯すことだけです。

あなたにとっての意味

プライバシーを気にして Signal を使用しているなら、このニュースはアプリを捨てる理由にはなりません。Signal は引き続き最も信頼できるメッセージングプラットフォームのひとつであり、基盤となる暗号化は転送中のメッセージを傍受から守り続けています。しかしこの状況は、暗号化がセキュリティ態勢のひとつの層に過ぎず、すべてではないことを改めて思い起こさせます。

こう考えてみてください。金庫の扉は、錠前師を名乗る攻撃者に鍵を手渡さない限りにおいてのみ、効果を発揮します。

一般的な日常ユーザーにとって、このロシア関連の特定キャンペーンによるリスクは低いです。報告されているターゲットは著名な人物、おそらく政治、軍事、またはジャーナリズムに関わる機密性の高い仕事に従事している人々です。しかし、使用される手口は特殊なものではありません。偽のセキュリティアラートを使ったフィッシング攻撃はあらゆるプラットフォームで一般的であり、リンクされたデバイス機能は Signal に限ったものでもありません。

あらゆるリスクレベルのプライバシー意識の高いユーザーは、セキュリティの専門家が機密システムを扱うのと同じように、メッセージングアプリを扱うべきです。つまり、多層的な防御と継続的な意識を持って。

Signal アカウントを守るための実践的な手順

今すぐリスクを軽減するためにできることを紹介します。

リンクされたデバイスを定期的に確認する。 Signal の設定メニューには、現在アカウントにリンクされているすべてのデバイスが表示されます。見覚えのないものがあれば、すぐに削除してください。これを一度きりの行動ではなく、定期的なルーティンにしましょう。

セキュリティアラートには徹底的に懐疑的になる。 正規のアプリが QR コードのスキャンやリンクのクリックを求める緊急メッセージを送ることはほとんどありません。そのようなリクエストは、公式のように見えても、デフォルトで疑わしいものとして扱ってください。

Signal の登録ロックを有効にする。 この機能は、新しいデバイスでアカウントを再登録する前に PIN の入力を必要とします。アカウント乗っ取りを試みる攻撃者に対して障壁を加えます。

デバイス自体を保護する。 Signal の暗号化は転送中のメッセージを保護します。スマートフォンのロックが解除された状態で誰かに渡されたり、マルウェアによって侵害されたりすると、その保護は終わります。強力なデバイスパスワード、生体認証ロック、そして OS を最新の状態に保つことはすべて重要です。

ネットワークセキュリティ全体を考慮する。 本当に機密性の高いやり取りを扱うユーザーにとって、信頼できる VPN を通じてトラフィックをルーティングすることで、攻撃者があなたのアクティビティをプロファイリングしたり、所在地を特定したり、標的型フィッシングに先行することが多い偵察を行ったりすることを困難にする匿名性の層が加わります。VPN はフィッシングを修正するものではありませんが、全体的なリスクを軽減する多層的なアプローチの一部です。

帯域外で確認する。 既知の連絡先からであっても不審なメッセージを受け取った場合は、何らかの行動を取る前に、まったく別のチャネル（電話、対面での会話、または別のアプリ）でリクエストを確認してください。

これらの Signal フィッシング攻撃からの教訓は、暗号化されたメッセージングが役に立たないということではありません。単一のツールが完全なソリューションにはならないということです。Signal はメッセージを非常にうまく保護します。アカウントを保護するには、攻撃者がテクノロジーを完全に回避しようとする方法、つまりあなた自身を標的にするという方法に対して、常に警戒を怠らないことが必要です。