「サポートチームです」——その一言があなたのSignalを乗っ取る

「不審なアクセスが検出されました。アカウントを保護するため、確認コードを入力してください」——もしSignalからこんなメッセージが届いたら、あなたはどうするだろうか。

実はこれ、Signalからのメッセージではない。ロシア政府系ハッカーが送った罠だ。

何が起きているのか：「マルウェアなし」の巧妙な手口

2026年3月、オランダの軍事情報保安局（MIVD）と総合情報保安局（AIVD）は、SignalとWhatsAppのユーザーを狙った「大規模かつグローバルな」ハッキングキャンペーンの詳細を公表した。標的は世界中の政府・軍関係者、ジャーナリストたちだ。

注目すべきは、この攻撃がマルウェア（悪意のあるソフトウェア）を使わない点だ。ハッカーたちはフィッシングとソーシャルエンジニアリング——つまり人間の心理を操る技術——を駆使してアカウントを乗っ取る。

Signalの場合、手口はこうだ。ハッカーはSignalのサポートチームを装い、「不審なアクティビティ」「データ漏洩の可能性」などと警告するメッセージを標的に直接送りつける。標的が信じてしまうと、ハッカーはSMSで送られる確認コードとPINコードを要求する。実はこのSMS確認コード、ハッカー自身がSignalのシステムに対してリクエストしたものだ。この2つのコードを手に入れたハッカーは、新しいデバイスに被害者の番号を登録し、アカウントを乗っ取る。

WhatsAppでは「リンクされたデバイス」機能が悪用される。ハッカーは悪意のあるQRコードやリンクを送りつけ、標的がそれをスキャン・クリックすると、ハッカーのデバイスが被害者のアカウントに紐付けられる。WhatsAppの場合、過去のメッセージにもアクセスできる可能性があり、さらに被害者がアカウントからログアウトされないため、気づかないまま盗聴され続ける恐れがある。

Signalは「アプリ内で直接サポートを提供することはない」と明言している。つまり、Signalを名乗るメッセージはすべて偽物だ。

なぜ今、これが重要なのか

この攻撃が持つ意味は、技術的な脅威にとどまらない。

SignalとWhatsAppは、「安全な通信手段」として世界中の活動家、ジャーナリスト、外交官、そして一般市民に広く使われている。日本でも、企業の機密連絡や取材源保護のためにSignalを使う報道関係者は少なくない。オランダ情報機関が指摘するように、今回の標的には「世界中のジャーナリスト」も含まれている。

広告

広告掲載について

[email protected]

広告

重要なのは、アプリ自体のセキュリティが破られたわけではないという点だ。脆弱性を突かれたのは人間——つまり私たち自身だ。どれほど強固な暗号化技術も、ユーザーが確認コードを渡してしまえば意味をなさない。

オランダ当局が特に強調するのは「被害者が気づきにくい」という点だ。Signalはチャット履歴をデバイス本体に保存するため、再登録後も履歴は手元に残る。「何も変わっていない」と思った被害者が、実はすでに盗聴状態にある——この認識のギャップが最も危険だ。

誰が、なぜ狙われるのか：ウクライナ戦争との連続性

オランダ当局は今回の攻撃を「ロシア国家アクター」によるものと断定した。報告書は、今回の手口がウクライナ戦争の文脈でロシア政府系ハッカーがすでに使用していた技術と一致することも指摘している。

地政学的な観点から見れば、標的の選定は偶然ではない。政府・軍関係者とジャーナリストは、機密情報と世論形成の両方に関わる存在だ。アカウントを乗っ取れば、情報収集だけでなく、偽情報の拡散や情報源の特定にも使える。

一方、Meta（WhatsApp）もSignalもこの件についてコメントを出していない。ロシア大使館も回答しなかった。沈黙が続く中、オランダの両情報機関だけが声を上げた形だ。

日本への影響：他人事ではない理由

日本は今回の報告書で名指しされていないが、無関係とは言えない。

日本政府は近年、サイバーセキュリティ強化を国家戦略の柱に据えており、2023年には能動的サイバー防御の法整備を進めた。しかし、政府・防衛関係者が日常的に使うコミュニケーションツールのセキュリティ教育は、技術的な対策と比べて遅れがちだ。

また、日本の報道機関では取材源保護のためにSignalを活用するケースが増えている。今回のような「サポートを装ったフィッシング」は、ツールに慣れていないユーザーほど引っかかりやすい。ソーシャルエンジニアリングは言語や文化を超えて機能する。

企業の観点からも見逃せない。ソニーやトヨタのような大企業だけでなく、海外取引先との連絡にWhatsAppを使う中小企業も多い。「リンクされたデバイス」機能を悪用した攻撃は、ビジネス上の機密情報漏洩にもつながりうる。

自分を守るために：今日できること

技術的な解決策よりも、まず「疑う習慣」が重要だ。

Signalは公式にアプリ内でサポートメッセージを送らない。WhatsAppの「リンクされたデバイス」設定は定期的に確認し、見覚えのないデバイスは即座に削除する。6桁のコードは誰にも、いかなる理由があっても共有しない。QRコードのスキャンは、送信元を十分に確認してから行う。

どれも「知っていれば防げる」攻撃だ。裏を返せば、知らないことが最大のリスクになる。