原題: Your Signal account is safe – unless you fall for this trick
シグナル利用者を狙った大規模ソーシャルエンジニアリング攻撃に警戒を
暗号化メッセージングアプリ「シグナル（Signal）」の利用者が、ハッカーによる大規模なソーシャルエンジニアリング攻撃の標的となっています。政府関係者やジャーナリストも被害に遭っており、強力な暗号化技術だけでは防げない新たな脅威が浮き彫りになりました。
主要なポイント
- シグナルの暗号化技術は無傷
シグナル自体の暗号化技術や中央インフラは侵害されておらず、技術的な脆弱性が原因ではありません。 - 攻撃はソーシャルエンジニアリングに依存
ユーザーを騙して認証コードやPINを渡させる手口で、アカウントの管理権を奪います。 - ロシア支援のハッカーが関与
オランダの情報機関は、この攻撃がロシア支援のハッカーによる大規模かつ世界的な作戦であると非難しています。 - 二つの主な攻撃手法
①偽のサポートチャットボットからのフィッシングメッセージで認証情報を騙し取る
②「リンク済みデバイス」機能を悪用し、QRコードやリンクを使って秘密裏に端末を接続する - ユーザーへの警告と対策
シグナルは公式に認証情報を求めることはなく、不審な連絡は攻撃者と断定。リンク済みデバイスの確認と不要な端末の削除を推奨しています。
技術的な詳細や背景情報
シグナルはエンドツーエンド暗号化を採用し、メッセージの内容は送信者と受信者のみが解読可能です。このため、通信経路やサーバー側での盗聴は非常に困難です。しかし、今回の攻撃は暗号技術を破るのではなく、ユーザーの認証情報を騙し取る「社会的工学（ソーシャルエンジニアリング）」に依存しています。
具体的には、攻撃者はシグナルの公式サポートを装ったチャットボットから「不審な活動が検出された」と偽りのメッセージを送り、SMSで届く検証コードやシグナルPINの入力を促します。これらの情報が渡ると、攻撃者は被害者のアカウントを自分の端末に登録し、メッセージやグループチャットを閲覧可能になります。
また、「リンク済みデバイス」機能の悪用も確認されています。この機能は複数の端末から同じアカウントにアクセスできる利便性を提供しますが、攻撃者は偽のQRコードやリンクを送り、被害者がそれをスキャンすると秘密裏に端末を接続し、会話を監視します。
影響や重要性
今回の事件は、どれほど強力な暗号化技術を用いていても、ユーザーの認証情報が漏洩すればセキュリティが破られることを示しています。特に政府関係者やジャーナリストなど、機密情報を扱うユーザーにとっては重大なリスクです。
また、攻撃が世界的かつ大規模であることから、同様の手口による被害が今後も拡大する可能性があります。ユーザー自身が警戒心を持ち、不審な連絡に応じないことが最も重要な防御策となります。
まとめ
シグナルの暗号化技術は依然として強固ですが、今回のようなソーシャルエンジニアリング攻撃に対しては無力です。ユーザーは公式以外からの認証情報要求に応じず、「設定 > リンク済みデバイス」から不審な端末を削除するなどの対策を徹底しましょう。セキュリティは技術だけでなく、ユーザーの意識と行動も不可欠です。
