Signalは、暗号化されたチャットが傍受されていないことをユーザーが確認するための新たな手段として、「自動鍵検証(Automatic Key Verification)」という新しいセキュリティ機能を導入しました。
この新機能は、CloudflareとTrail of Bitsを信頼できる第三者の独立監査機関として活用し、Signalの会話の完全性を検証する「鍵の透明性(key transparency)」システムの一部です。
「これは、ユーザー自身、Signal上の連絡先、そして第三者監査機関によって行われる一連の検証を通じて機能する仕組みで、手動でセーフティナンバーを確認するのと同等の保証を提供します。セーフティナンバーとは異なり、これらの検証は独立して行われるため、対面での確認や別の通信チャネルを必要としません」と、SignalのソフトウェアエンジニアであるKatherine Yen氏は述べています。
「この検証システムにより、電話番号やユーザー名とその公開暗号鍵との関連付けが、Signalのエコシステム全体で一貫性を持ち、すべての参加者に対して透明であることが保証されます。これにより、鍵の所有者が知らないうちに鍵が差し替えられるような事態を防ぐことができます。例えば、悪意のある第三者がSignalを侵害し、あなたの連絡先の電話番号に別の鍵を関連付けてしまうようなケースです」
ユーザーは、Signalの「設定」>「プライバシー」>「詳細設定」から「自動鍵検証」を有効にすることで、この機能を利用できます。
また、セーフティナンバー確認画面で「自動的に検証」をクリックすることで、チャット相手のSignalユーザーの公開鍵を検証することも可能です。検証に成功すると、アプリには緑色のチェックマークと「暗号化を確認済み」というメッセージが表示されます。
Signalや独立監査機関に依存したくないユーザーは、プライバシー設定でこの自動鍵検証機能を無効化し、従来通り手動でのセーフティナンバー確認を続けることも可能です。
「鍵の透明性は、メッセージングセキュリティの重要な一部を確認するための使いやすい方法であり、既存のセーフティナンバーシステムを補完するものです」とSignalは述べています。
「時間の経過とともに、この検証と、Signal上の連絡先や第三者監査機関によって継続的に行われる検証とが組み合わさることで、Signalのエコシステム全体においてこの連絡先の鍵の一貫性が保証されます」
Signalは5月にも、フィッシングやソーシャルエンジニアリングの試みに対する追加の防御策として、外部からのリクエストの安全性をユーザーが確認する時間を確保できるよう設計された新しい警告メッセージやアプリ内確認機能を導入しています。
これは、ロシア国家が支援するハッカーによるものとされる攻撃を受けての対応でした。この攻撃では、著名なユーザーを標的に偽の「Signalサポート」アラートを送りつけ、Signalの連携デバイス機能を悪用して標的のアカウント、チャット、連絡先リストへのアクセス権を obtainする手口が使われており、FBI、ドイツ当局、オランダ政府がそれぞれ報告しています。
その1か月後、米国務省は、Signalユーザーを標的とした大規模なフィッシングキャンペーンに関与しているとされるハッカー集団UNC5792およびUNC4221のメンバーを特定・追跡する手がかりを提供した者に対し、最大1,000万ドルの報奨金を提供すると発表しました。
攻撃者が有効な認証情報を入手した後、その行動のうちブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きるかは見えません。攻撃者が有効な認証情報を使い始めると、防御の成功率は急激に低下します。
「The Blue Report 2026」は、顧客の本番環境で実行された3億3,800万件のシミュレーションをもとに、手法ごとに防御力を測定しています。
