コードの見た目だけでなく、自分が何の操作を承認しているのかを確認しましょう。
「非公開グループに参加するには、あるいはアカウントを有効なままにするには、QRコードのスキャンが必要です」というメッセージが届きました。ところが、次の画面は端末の連携を求めています。この二つは別の操作です。承認する前に立ち止まってください。正規のアカウント連携の仕組みでも、人をだます目的に使われることがあります。
エンドツーエンド暗号化は、通信に参加する端末間のメッセージを保護します。しかし、今そのメッセージを受信している端末を、あなたが本当に追加したかったのかまでは判断できません。本記事では、ウェブリンク、端末連携の要求、連絡先の検証コードを見分ける方法と、すでに操作してしまった場合の確認事項を説明します。
QRコードを利用する二つの異なる罠
偽のウェブサイト： コードを読み取ると、よく知っているサービスを装ったページが開き、パスワードなどの機密情報を求められます。米連邦取引委員会（FTC）は、予期しないメッセージ内のQRコードに注意を促しています。リンク先を確認し、メッセージに従うのではなく、すでに知っている連絡手段で送信者とされる相手に連絡するよう勧めています。見慣れたロゴだけでは、そのページの運営者は分かりません。FTCによるQRコード詐欺への注意喚起。
意図しない端末の連携： 攻撃者が、自分のコンピューターなどをあなたのメッセージングアカウントに接続するよう誘導します。これは暗号を破るのではなく、正規の機能を悪用する手口です。Google Threat Intelligenceは、グループへの招待やセキュリティ通知を装ったSignalの端末連携攻撃を報告しています。観測された攻撃では、連携が成立すると、その後のメッセージが攻撃者の管理する端末にも届くようになりました。Googleによる端末連携フィッシングの調査。
この違いは重要です。パスワードの変更は、連携済み端末の確認の代わりにはなりません。一方、単にカメラをコードに向けただけで、アカウントが乗っ取られたと断定することもできません。どのページが開き、どんな情報を入力し、何を承認したのかを確認してください。
似た見た目の三つのコード、異なる三つの目的
| コードや画面 | 本来の目的 | 続行前に確認すること |
|---|---|---|
| ウェブサイトのQRコード | アドレスを開く | 自分で確認して想定していたリンク先か？ |
| 端末連携用QRコード | 別の端末を承認する | 自分の端末か？ 自分から連携を始めたか？ |
| 連絡先の検証用QRコード | 暗号学的な識別情報を比較する | 連絡先の検証画面で、正しい相手と比較しているか？ |
例えばSignalは、連携済み端末の設定とアプリ内カメラを使う専用の連携手順を案内しています。現行の説明には、メッセージ履歴を転送するかどうかの選択も含まれます。これは、連絡先の安全番号を確認する作業とは別です。Signalの連携済み端末に関する説明。
Signalの安全番号の文書では、番号を比較するか、相手の検証用QRコードをスキャンする方法を説明しており、可能なら対面での確認を勧めています。この比較は会話の暗号学的な識別情報を検証する助けになるもので、新しいコンピューターにアカウントへのアクセスを許可する指示ではありません。また、それだけで相手の現実世界での身元を証明するものでもありません。送信者の説明ではなく、実際の画面が何のためのものかに従って判断してください。Signalによる安全番号の説明。
具体例：途中で意味が変わる招待
次の架空の場面を考えてみましょう。ミナに、同僚からと思われるメッセージが届きます。「プロジェクトのグループを移しました。これをスキャンして入り直してください」。ページはきれいに作られていますが、メッセージアプリの端末連携用スキャナーを開くよう指示しています。
ミナは食い違いに気づきます。参加したかったのは会話であって、別のコンピューターを接続することではありません。操作を取り消し、普段使っている連絡先を自分で開いて、別の信頼できる手段で同僚に確認します。疑わしいページに書かれている電話番号は使いません。
この例から、役立つ判断基準が分かります。 アプリが求める権限が、やりたい作業より広い場合や、別の作業に当たる場合は、そこで止めましょう。 見慣れた送信者アカウントだけでは十分ではありません。なりすましやアカウントの侵害があり得るからです。安心できそうなウェブアドレスだけでも、予期しない端末にアクセスが必要な理由は説明できません。
承認前の短いチェックリスト
- 目的をはっきりさせる。 ページを開く、グループに参加する、連絡先を検証する、自分のコンピューターを連携する、のどれでしょうか。
- 自分で操作を始める。 アカウント管理は、突然届いたメッセージの指示に従わず、インストール済みのアプリや既知のリンク先から行います。
- アプリの確認画面を読む。 端末連携、アカウントの復旧、認証情報の入力は別々の判断です。目的に合わない要求は取り消します。
- 相手側の端末を特定する。 自分が使うつもりで、管理できる機器だけを連携します。親しみのある端末名は、所有者の証明にはなりません。
- 秘密情報をチャットで送らない。 助けると名乗る相手に、パスワード、登録コード、復旧キーを渡さないでください。
- 最新のソフトウェアを使う。 更新や内蔵の警告機能は大切ですが、予期しない承認要求を信頼できるものに変えるわけではありません。
Signal自身のフィッシング対策ガイドも、別の経路での確認、コードの秘匿、予期しない要求への慎重な対応を勧めています。また、閲覧専用の公式お知らせと、対話してくる偽のサポート担当者を区別しています。これらはSignalに固有の説明であり、すべてのメッセージアプリのサポート体制に当てはまるという意味ではありません。Signalのフィッシングとなりすまし対策ガイド。
すでにスキャンまたは承認した場合
実際に行った操作に応じて対応してください。
- ページを開いただけ： ページを閉じ、それ以上操作しないでください。情報を入力したか、何かをダウンロードしたか、アプリの操作を承認したかを確認します。スキャンしたという事実だけで、侵害されたとも、安全だとも決めつけないでください。
- 認証情報を入力した、またはコードを共有した： 信頼できる端末から、そのサービスの公式の復旧手順を利用します。漏れたパスワードを変更し、アカウントへのアクセスを確認します。使い回していたパスワードは別途対処してください。
- 見知らぬ端末を連携した： アプリの実際の端末一覧やセッション一覧を開き、不要な接続を解除します。詐欺メッセージを削除しても、アクセスが取り消されるとは限りません。
- ソフトウェアをインストールした、または不自然な権限を与えた： それらは別に調べる必要があります。アカウントのセッションを失効させるだけでは、スマートフォン上の悪意あるソフトウェアは削除されません。
Signalの場合、保護ガイドは連携済み端末を確認し、見覚えのない項目を削除し、判断できなければ一覧のすべての端末を解除するよう勧めています。連携解除の説明には、メインのスマートフォンから端末のアクセスを取り消す手順が示されています。他のサービスでは、異なる操作が必要なことがあります。Signalのアカウント保護ガイド、Signalの端末連携解除手順。
アクセスを取り消しても、すでに別の場所へコピーされた情報は取り戻せません。影響範囲は、サービス、許可した権限、履歴転送の選択、アクセスが続いた時間によって変わり、一律に「すべてのチャット」とは言えません。機密性の高い会話が漏れた可能性があれば、信頼できる経路で関係者に知らせ、該当するインシデント報告の手順に従ってください。
Livaraなどのメッセージアプリを評価するときの確認事項
新しい端末はどう承認されるのか、有効なセッションはどこに表示されるのか、アクセスはどう取り消すのか、履歴は別に転送されるのかを確認しましょう。「暗号化」という表示だけでこれらの疑問が解決すると考えず、現在の製品文書を読んでください。この記事は、LivaraがQRコードによるログインや特定の端末連携手順を採用していると確認するものではありません。
要点はシンプルです。コードの見た目だけでなく、 自分が承認しようとしている操作 を確認しましょう。
