原題: Your Signal account is safe – unless you fall for this trick
シグナル利用者を狙う巧妙なソーシャルエンジニアリング攻撃とは？
世界中で高い信頼を誇る暗号化メッセージングアプリ「シグナル（Signal）」が、ユーザーを標的にしたソーシャルエンジニアリング攻撃の被害に遭っています。攻撃者は技術的な脆弱性ではなく、人間の心理的な隙を突く手法でアカウントを乗っ取ろうとしています。
主要なポイント
- フィッシングリンクの送信：攻撃者は偽のログインページやマルウェアを仕込んだリンクをシグナルのメッセージや他のチャネルで送信し、認証情報や個人情報を盗み取ろうとします。
- なりすましメッセージ：知人や信頼できる組織を装い、金銭要求や機密情報の提供を促すメッセージを送信し、利用者の警戒心を解いて情報漏洩や詐欺を狙います。
- SIMスワップ詐欺との連携：電話番号を基盤とするシグナルの特性を悪用し、SIMスワップ詐欺で電話番号を乗っ取ることでアカウントアクセスを試みるケースがあります。
- リンク済みデバイス機能の悪用：攻撃者はQRコードやリンクを送信し、被害者がそれをスキャンすると自分のデバイスを被害者のアカウントに密かにリンクさせ、会話を監視します。
- 公式を装った偽メッセージ：「Signal Security Support Chatbot」などの偽アカウントから不審な検証コードの入力を求めるメッセージが送られ、これに応じるとアカウントを乗っ取られます。
技術的な詳細や背景情報
シグナルはエンドツーエンド暗号化によりメッセージの内容を第三者から守っていますが、今回の攻撃は暗号技術の破壊ではなく、ユーザーの認証情報を騙し取る「社会的工学（ソーシャルエンジニアリング）」に依存しています。社会的工学とは、人間の心理的な弱点や信頼を利用して情報を引き出す手法です。
具体的には、攻撃者はシグナルの「リンク済みデバイス」機能を悪用し、偽のQRコードを送信。被害者がこれをスキャンすると、攻撃者のデバイスが被害者のアカウントに紐づけられ、メッセージの内容を密かに閲覧可能になります。また、SMS検証コードやシグナルPINの入力を求める偽メッセージで認証情報を騙し取る手口も確認されています。
さらに、オランダの情報機関はこれらの攻撃がロシア支援のハッカーによる大規模かつ世界的な作戦であると指摘しており、政府職員やジャーナリストも標的に含まれています。
影響や重要性
この攻撃は、いかに強力な暗号化技術であっても、ユーザーの警戒心が緩むと情報が漏洩し、プライバシーや安全が脅かされることを示しています。特に政府関係者やジャーナリストなど機密情報を扱うユーザーにとっては、アカウント乗っ取りによる情報漏洩のリスクが非常に高く、社会的影響も大きいです。
また、攻撃者は技術的な脆弱性を狙うのではなく、ユーザーの心理的な隙をつくため、セキュリティ対策は技術面だけでなく、ユーザー教育や警戒心の強化も不可欠です。
まとめ
シグナルの暗号化技術は堅牢ですが、ユーザーがソーシャルエンジニアリングに騙されて認証情報を渡してしまうと、アカウントは容易に乗っ取られてしまいます。以下の対策が重要です。
- 不審なリンクやメッセージは絶対にクリックしない
- シグナルや他のサービスから検証コードやPINの入力を求める連絡は公式からは来ないと認識する
- 二要素認証（2FA）を必ず有効にする
- 「設定 > リンク済みデバイス」から身に覚えのないデバイスを確認し、あれば削除する
- 電話番号の管理を厳重にし、SIMスワップ詐欺に注意する
どんなに強力な暗号化でも、ユーザーの警戒心がなければ守れません。常に最新の情報に注意し、慎重に行動することが安全なコミュニケーションの鍵となります。
