WhatsAppの重大な脆弱性：不在着信だけでハッキングされる仕組みと対策

ごく些細な行為をきっかけに被害を受けてしまう、恐ろしいセキュリティ脆弱性が存在します。かつてPlayStation 4では、メッセージを開いただけでゲーム機が使用不能になる（いわゆる「ブリック」状態になる）脆弱性が話題になりました。そして最近では、WhatsAppにおいて「回避不可能」とされる攻撃が確認されました。この攻撃でハッカーがやるべきことは、ただ標的のユーザーに電話をかけるだけ。それだけでマルウェアが送り込まれてしまうのです。

攻撃の仕組み

この攻撃が特に恐ろしいのは、ユーザー側にできる防御策がほとんどない点です。不審なリンクをクリックする必要も、怪しいウェブサイトを訪問する必要もありません。ハッカーは単に被害者のWhatsApp番号に電話をかけるだけで、着信を受けた直後にマルウェアが注入されます。

この攻撃には「バッファオーバーフロー」と呼ばれる手法が使われました。バッファオーバーフロー攻撃とは、ハッカーが悪意のあるコードを、攻撃対象のソフトウェアのソースコードへ「漏れ込ませる」手法です。ソフトウェアやアプリには、ユーザーの入力などを一時的に保存するための「バッファ」と呼ばれる領域が内部に用意されています。

ソフトウェアがバッファの扱いに注意を払っていない場合、ハッカーはバッファサイズを超えるデータの書き込みを指示できてしまいます。その結果、悪意あるコードがソースコード側へ「あふれ出し」、ハッカーはソフトウェアを自由に改ざんできるようになります。

WhatsAppで着信を受けると、アプリはユーザーが何をしたいのか（通話に応答するのか、切断するのか）を把握しなければなりません。そこでアプリは、ユーザーの操作内容をバッファに一時的に格納します。このわずかな隙間こそが、ハッカーにとって絶好の攻撃チャンスでした。バッファにコードを押し込み、意図的にオーバーフローを起こしてアプリのコードへ侵入し、その足場を利用してデータを盗み出すことが可能だったのです。

なぜこのような攻撃が発生するのか？

バッファオーバーフロー攻撃は、開発者がユーザー入力によってバッファが溢れないよう十分に検証していない場合に発生します。通常、プログラマーはサイズが大きすぎるデータ入力を拒否するようソフトウェアに指示します。たとえば、名前の入力欄に10文字分しか領域がないなら、11文字以上の入力が含まれていないか必ずチェックしなければなりません。

この確認を怠ると、脆弱性を突いたバッファオーバーフロー攻撃を受けるリスクが生じます。バッファオーバーフローは、最良の場合でもソフトウェアをクラッシュさせ、最悪の場合は攻撃者に悪用されるセキュリティホールとなってしまいます。そのため、開発者がアプリに対して誤った入力を検出させ、バッファに渡る前に不正な入力を拒否させることは極めて重要です。

自分を守るには？

幸い、この記事を読んでいる時点で、あなたはすでにこの攻撃から安全である可能性が高いです。この脆弱性が発覚するとすぐ、WhatsAppは修正版アップデートを配信しました。しばらくアプリの更新をしていない場合は、スマートフォンに最新版のWhatsAppがインストールされているか今一度確認しておきましょう。最新版を導入すれば、この攻撃を心配することなく、不在着信も安心して放置できます。

「自分のWhatsAppが更新済みかどうかわからない」という場合は、バージョンを直接確認するのが確実です。当時の運営元であるFacebookはアラートの中で、影響を受けるバージョンを以下のように公表しています。

影響を受けるバージョン：Android版WhatsApp v2.19.134以前、Android版WhatsApp Business v2.19.44以前、iOS版WhatsApp v2.19.51以前、iOS版WhatsApp Business v2.19.51以前、Windows Phone版WhatsApp v2.18.348以前、Tizen版WhatsApp v2.18.15以前。

自分のWhatsAppのバージョンを確認するには、アプリを起動し、右上の三点メニュー（⋮）をタップして「設定」→「ヘルプ」→「アプリ情報」の順に進みます。表示された画面でバージョン番号を確認できます。

もし脆弱性のあるバージョンを使っており、しかもアプリが自動更新されない場合は深刻な問題です。WhatsAppは現在のところ通話機能を無効化できないため、感染を確実に防ぐ最善の方法は、ストアで更新版が配信されるまでアプリを完全にアンインストールすることです。

まとめ：WhatsAppのマルウェアに「お引き取り」を

今回のWhatsAppの脆弱性では、ハッカーがバッファオーバーフローを悪用してユーザーのアプリを攻撃していました。ありがたいことに、現時点で必要な対策はアプリを最新版に更新するだけです。

このようなハッキングのニュースを聞いて、機密性の高いやり取りにメッセンジャーアプリを使うことへの警戒心が強まりましたか？ぜひコメントであなたの考えをお聞かせください。