WhatsAppに深刻な脆弱性が発覚：安全に使い続けるために今すぐアプリを更新しよう

メッセージングサービス「WhatsApp」は最近、ハッカーがスマートフォンやその他のデバイスにリモート監視ソフトウェアをインストールできる重大な脆弱性が存在していたことを確認しました。ハッカーはこの脆弱性を利用して複数のユーザーを標的にしており、その攻撃はほぼ間違いなく「高度なサイバー攻撃者」によるものとみられています。

WhatsAppは安全なメッセージングアプリとして強い評判を築いてきました。しかし現在、Facebook傘下のこのメッセンジャーアプリは厳しい注目を浴びています。ハッカーはどのようにWhatsAppを突破したのでしょうか。そして、WhatsAppはまだ安全に使えるのでしょうか。

WhatsAppのセキュリティ侵害によりマルウェアがインストールされる仕組み

この脆弱性は、WhatsAppの音声通話機能を悪用してターゲットのデバイスに着信させるものです。通話が開始されると、高度な監視ツールがインストールされます。被害者が電話に出る必要はなく、着信に応じなくてもマルウェアはインストールされてしまいます。さらに着信が終了すると、監視ツールはマルウェアに関連する通知や通話履歴を自動的に消去します。

このスパイウェア自体は、通話データ、メッセージ、写真、動画を収集できるだけでなく、マイクとカメラを作動させて録音・録画することも可能です。非常に高度で危険なマルウェアであり、深刻な被害をもたらしかねません。ただし、マルウェア自体とWhatsAppの悪用手法が高度である一方で、攻撃の根幹にあるのはかなり古典的な攻撃手法でした。

WhatsAppの親会社であるFacebookは、セキュリティ勧告の中でこのハッキングについて次のように説明しています。「WhatsApp VOIP（Voice over Internet Protocol）スタックにおけるバッファオーバーフロー脆弱性により、ターゲットの電話番号へ送信された特別に細工された一連のSRTCP（Secure Real-time Transport Protocol）パケットを介して、リモートコード実行が可能となった」

バッファオーバーフローとは、プログラム（この場合はアプリ）が本来アクセスしてはならないシステムメモリ領域にアクセスしてしまう現象です。攻撃者がこの不正なメモリ領域でコードを実行する方法を見つけられれば、悪意のある処理を実行できてしまいます。今回の攻撃はまさにそれが起きたケースです。

どのデバイスがWhatsAppハッキングの影響を受けるのか？

端的に言えば、すべてのデバイスです。

スマートフォンにWhatsAppまたはWhatsApp Businessがインストールされている場合、この脆弱性の影響を受ける可能性があります。つまり、Android、iOS、Windows 10 Mobile、そしてTizen搭載デバイスがすべて該当します。

WhatsAppハッキングの背後にいるのは誰か？

イスラエルのサイバーセキュリティ企業「NSO Group」がこのハッキングの背後にいるとの強い疑いが持たれています。NSO Groupは、この種の高度なマルウェアを製作してきた実績があり、この規模の攻撃を実行できる専門知識も有しています。

Facebookはフィナンシャル・タイムズ紙に対し、「この攻撃には、政府と協力してスパイウェアを提供することで知られる企業の特徴がすべて備わっている。そのスパイウェアは、モバイルOSの機能を乗っ取ると報告されている」と述べました。

この声明は、トロント大学のCitizen Labが2016年に発見したペガサス（Pegasus）スパイウェアを指しています。Citizen Labは、極めて高度なこのマルウェアが著名な人権活動家アーメド・マンスール氏を標的にした際にペガサスを突き止めました。ペガサスは3つの個別のゼロデイ脆弱性を利用してiPhoneのリモート脱獄を行い、Appleは脆弱性を修正するために予定外のiOSアップデートの公開を余儀なくされました。

攻撃手法の新しさ以外にも、今回のWhatsAppハッキングはもう一つ懸念すべき点を示しています。この脆弱性から配信されたマルウェアは、クリックやタップといったユーザーの操作を一切必要としませんでした。マルウェアは静かに自身をインストールし、その後証拠を削除します。

NSO Groupは、このWhatsAppハッキングとの関わりを否定する声明を発表しました。

「NSOの技術は、犯罪やテロと闘うことのみを目的として、認可された政府機関にライセンス供与されています。当社はシステムを運用しておらず、厳格なライセンス発行および審査プロセスを経た後、情報機関や法執行機関が公共の安全に関する任務を支援するために技術をどのように使用するかを決定します。」

「当社は技術の悪用に関する信頼性のある申し立てがあればすべて調査し、必要に応じてシステムの停止などの措置を講じます。いかなる場合でも、NSOが自社技術の運用や標的の特定に関わることはありません。技術の運用は情報機関および法執行機関のみが行います。」

「NSOが自らの判断で技術を使用して、この人物を含むいかなる個人や組織を標的にすることも、できませんでした。」

自分はWhatsAppハッキングの危険にさらされているのか？

正直に言えば、一般ユーザーがこのWhatsAppハッキングの直接の被害者になる可能性は極めて低いでしょう。

この種の攻撃は稀で、通常は国家支援の脅威アクターによるものです。攻撃の実行者は、特定の個人や組織を狙う場合にのみ、このような高度な攻撃を使用します。また、セキュリティ研究者が攻撃を発見・分析した時点で、攻撃はほぼ終わりとなります。脆弱性を持つサービスやアプリは速やかに対応して問題を修正するため、同じ手法が再び使われることはありません。

したがって、自分が標的ではないと安心して考えてよいでしょう。

実際、特定された標的はごくわずかで、アムネスティ・インターナショナルの研究者や英国在住の人権弁護士など、ごく限られた人物たちでした。

今こそWhatsAppを更新すべき時

とはいえ、デバイス上のWhatsAppを必ず更新しましょう。WhatsAppはハッキング発覚後ただちに緊急アップデートをリリースしており、このアップデートで脆弱性は修正されています。なお、ストアの自動アップデートを有効にしておけば、今後も重要なセキュリティ修正を取り逃す心配がなくなります。

AndroidでWhatsAppを更新する方法

1. デバイスでGoogle Playストアを開く
2. 左上のメニューアイコンをタップ
3. 「マイアプリ＆ゲーム」を開く
4. WhatsAppがすでに更新済みかどうかを確認。更新済みの場合はアプリリストの上部付近に表示されます
5. 未更新の場合は、リストからWhatsAppを見つけて「更新」を選択

iOSでWhatsAppを更新する方法

1. デバイスでApp Storeを開く
2. 「アップデート」をタップ
3. WhatsAppがすでに更新済みかどうかを確認。更新済みの場合は「開く」ボタン付きでリストに表示されます
4. 未更新の場合はボタンが「アップデート」と表示されるので、タップしてWhatsAppのアップデートをインストール

WhatsAppはまだ安全に使えるのか？

最大の疑問はここです。WhatsAppはまだ安全に使えるのでしょうか？

答えは「はい」です。

一部の媒体がWhatsAppハッキングをどう煽ろうとも、アプリは（更新さえすれば！）依然として安全に使用できます。特定された標的からも分かるように、その範疇に該当しない限り、この種の攻撃に遭遇することはまずありません。

むしろ、ハッキング後の問題は質の低い報道にあります。WhatsAppはエンドツーエンド暗号化によって通信を保護しているため、プライバシー保護の評判を得てきました。重要なのは、今回の攻撃はこの暗号化を破ったものではないという事実です。

攻撃をそうした形で描写する媒体は、高度な脅威アクターが関わる状況に元々存在する誤解や不透明さにつけ込み、話題性で利益を得ようとしているにすぎません。

今回のWhatsAppハッキングは、非常に特殊でほぼ不可視の攻撃であり、より多くの標的が侵害される前にWhatsAppとFacebookがいち早く検知したことは評価に値します。これを通常のWhatsAppフィッシング攻撃やドライブバイ型マルウェアダウンロードのように見せる報道の仕方は、無責任だと言わざるを得ません。

それでもWhatsAppからの乗り換えを検討している方は、プライバシー保護に優れたWhatsApp代替アプリを試してみるのも良いでしょう。