E2EEメッセージのSignal、Twilioへのフィッシング攻撃でユーザー約1900人に影響

公開 2022年08月17日 07時01分

[ITmedia]

印刷する Googleで優先するソースとして追加

　E2EE（エンドツーエンドの暗号化）メッセージングアプリ「Signal」を提供する米非営利団体Signal Messengerは8月15日（現地時間）、同社もその電話番号認証サービスを利用している米Twilioへのフィッシング攻撃で、約1900人のユーザーに影響があったと発表した。

　Twilioが7日に発表した攻撃で、Signalの約1900人のユーザーの電話番号がSignalアカウントに登録されているという情報と、それらの電話暗号の登録に使われたSMS確認コードが攻撃者に奪われた。攻撃者は約1900件の電話番号中3つの番号でアカウントの再登録を試み、1つの番号で再登録した。

　Signalのメッセージはクラウドではなくユーザーの端末に保存され、連絡先リストとプロフィールはセキュリティPINで保護されているため、それらが攻撃者の手に渡ることはない。

　だが、アカウントを再登録されてしまうと、その電話番号からメッセージを送受信できてしまう。

　Signalは、影響を受けた約1900人に15日からSMSで、Signalの登録を一旦解除し、再登録するよう通知している。16日までに通知を受けない場合は、影響を受けていないと考えていい。

　Signalはユーザーに対し、こうした危険から身を守るために、Signal PINのオプション「登録ロック」を有効にするよう勧めている。これは、電話番号をSignalに登録する際にSignal PINが要求されるようになるというものだ。攻撃者が電話番号とSMS確認コードを使って新たな端末にアカウントを登録しようとしても、Signal PINが分からなければ登録できない。