WhatsAppを狙う詐欺、「連携デバイス」機能を悪用してアカウントを乗っ取り

WhatsAppを標的とした新たな詐欺が、乗っ取ったアカウントを介して拡散しています。受信者に「友人のためにオンラインコンテストへ投票してほしい」と依頼し、その過程で攻撃者のデバイスを本人のアカウントに承認させるという手口です。

Malwarebytesが8月3日に公表した新たな調査によると、このメッセージはすでに侵害された連絡先のアカウントから送られてきており、バレエの発表会や犬のコンテスト、学校行事などを口実にしていることが分かりました。同社は自社の詐欺チェックツールに寄せられた匿名の報告からこのキャンペーンを発見しました。

リンク先は投票ページではありませんでした。多くの場合、正規のwa.meドメインを使ってWhatsAppに似せたページへ転送され、あたかもWhatsApp Webを設定しているかのように被害者を誘導する仕組みになっていました。別のバージョンでは、単に「連携デバイス」の設定画面を開き、詐欺師から渡されたコードを入力するよう指示するだけのものもありました。

メッセージングアプリを狙う詐欺について詳しくはこちら: NCSC、WhatsAppとSignalのアカウントを狙うハッカーについてセキュリティ警告を発令

パスワードもアラートもなし

攻撃者の狙いは認証情報ではありませんでした。手順を完了させることで攻撃者のデバイスが連携セッションとして追加され、正規の第2デバイスと同等のアクセス権を得ていました。

これにより、メッセージの閲覧やアカウント名義での送信、リアルタイムでの会話追跡が可能になっていました。攻撃者はこの権限を使って同じ詐欺を被害者の連絡先へ転送したり、友人や家族に金銭を要求したりしていました。

ログイン自体が発生しないため、パスワードリセットのメールやサインイン失敗の通知は送られません。攻撃者のデバイスは連携デバイス一覧に単なる1項目として表示されるだけであり、Malwarebytesは、利用者が自ら確認しない限り侵害がしばらく気づかれないままになる可能性があると指摘しています。

使い古された手口、新しい誘い文句

連携デバイス機能の悪用自体は目新しいものではありません。研究者らは2025年12月にも同様の手口を「GhostPairing」という名称で報告しており、その際は投票依頼ではなく偽の写真閲覧ページが使われていました。

ロシアの国家的な攻撃者は過去にも、WhatsAppやSignalの利用者を狙ってQRコードを悪用したデバイス連携の誘導手口を用いてきました。

今回変化したのは口実です。誰かの子供やペットがコンテストで勝てるよう手伝ってほしいという依頼は、リスクが低く、もっともらしく見えるうえ、実在の連絡先から届きます。Malwarebytesは、この手口が信頼感と好奇心を巧みに組み合わせていると指摘しています。

同社は、利用者に対して「設定」から「連携デバイス」を確認し、見覚えのないものはログアウトすること、自分から始めたのではないQRコードのスキャンや連携コードの入力には決して応じないこと、想定外の依頼は別の連絡手段で本人確認をすることを推奨しています。

すでに被害に遭った可能性がある人は、連携デバイスをすべてログアウトし、連絡先の相手にも注意を呼びかけるべきです。