ポーランドが職員にSignalを中止するよう指示、『安全』な国家開発代替手段の使用を推奨

セキュリティ

政府高官を狙った成功した社会工学攻撃の報告が増加する中での転換

ポーランド政府は公務員および「国家サイバーセキュリティシステム内の事業体」に対してSignalの使用を中止するよう促し、代わりにポーランドの主要な研究機関によって開発された暗号化メッセンジャーの使用を指示しています。

金曜日の声明の中で、政府はSignalが高度な持続的脅威（APT）グループによって仕掛けられた社会工学攻撃を含む、セキュリティリスクをもたらすと述べました。

「国家レベルのコンピュータセキュリティインシデント対応チーム（CSIRT）は、敵対的な国家機関と関連するAPTグループによって実施されたフィッシングキャンペーンを特定しました」と声明は述べています。「これらの攻撃は、とりわけ公人と政府職員を対象としています。」

これらの社会工学キャンペーンの例を挙げて、政府は攻撃者がSignalサポートスタッフになりすまし、この認識される信頼を悪用して被害者のアカウントを乗っ取ると述べました。

攻撃者は、アカウントがブロックされたことを通知しているとされるメッセージなど、緊急の感覚を作り出すために設計されたメッセージを送信することで、ユーザーに悪意のあるリンクを開かせるようにだまします。

成功した試みは被害者の電話番号を露出させることができ、さらに重要なことに、政府職員間で送信されたメッセージを露出させ、国家安全保障を脅かす可能性があります。

より詳細な勧告では、変更の理由としてSignalに関連する「最近のセキュリティインシデント」を引用しました。

これらの最近の攻撃が何であるか、またはそれらの背後にあったのは誰であるかは指定されていませんが、ポーランド政府が3月に明らかになったSignalとWhatsApp両方に対するロシアのフィッシング試行を間接的に参照していたと合理的に仮定することができます。

「ロシアのハッカーは機密情報へのアクセスを獲得した可能性が高い」とAIVDとMIVDは述べ、成功した攻撃は政府職員およびジャーナリストに対して実施されたと付け加えました。

Signalサポートスタッフなりすまし以外に、機関は攻撃が外部者が被害者に検証コードまたはPINを引き渡すよう説得したり、QRコードを使用してプラットフォームのリンクされたデバイス機能を悪用したりしてアカウントを制御することも含むことができると述べました。

FBI、CISA、およびドイツの情報セキュリティ部門はほぼ同一の警告を発出しました。

ポーランドは3月にmSzyfr Messengerの発売を発表し、公共行政機関、国家サイバーセキュリティシステムに関わる者、および政府によって決定される他の者による使用のために設計されたと述べました。

デジタル問題省と科学・学術コンピュータネットワーク–国家研究機関（NASK）によって開発されたmSzyfr は、政府によって「ポーランドの完全な管轄下にある最初の安全なインスタントメッセンジャー」と喧伝されました。

しかし、米国の大企業が提供する多要素認証（MFA）に依存しています。Microsoftが推奨されるオプションですが、ユーザーはGoogleまたはFreeOTPも選択できます。

さらに、ユーザーがログアウト後もメッセージへのアクセスを保持したい場合、パスワードマネージャーに保存することをインストールマニュアルが提案する復旧キーを設定する必要があります。

多くの一般的なパスワードマネージャーは外国所有またはオープンソースであるため、これはポーランドの管轄権に対する政府の強調を幾分損なわせます。

mSzyfr のFAQドキュメントは、メッセンジャーがプライバシーバイデザイン哲学で構築されていると述べており、WhatsAppもSignalもこの説明に適合しないことを明確に述べています。また、米国ベースのプラットフォームがGDPR準拠していないと主張しました。

mSzyfr アプリは公開されていません。承認された組織で働く個人のみがプラットフォームに参加するための招待を受け取ることができます。

それはスイス発祥のThreemaに取って代わります。ポーランド政府は2022年に国家職員と法執行機関の推奨を開始しましたが、アプリの暗号化性のため、メッセージなどのデータは転送できません。

すべてのThreemaユーザーは、まだ受け取っていない場合、近い将来mSzyfr への招待を受け取ることを期待する必要があります。

The Registerはポーランドの発表についてコメントするようSignalに求めましたが、すぐに応答しませんでした。

しかし、先週様々な情報機関によって提起されたセキュリティ上の懸念に最近対処し、ユーザーが潜在的な詐称者や悪質な行為者を排除するのを支援するためにプラットフォーム内で新しい警告とアラートを導入しました。®

Logo

餌をくれる手にかみつく

関連記事