WhatsAppは、パスキーを利用してアカウントを保護しているユーザーが10億人を超えたと発表しました。世界最大級のメッセージングプラットフォームの一つで、フィッシング耐性を持つ認証方式が広く普及したことになります。
この8月25日に公表されたアップデートでは、複数パスキーのサポート、より強固な2段階認証情報、そして未登録の電話番号からの着信に関する追加情報の表示が導入されます。
これらの変更は、ワンタイムパスワードを悪用するソーシャルエンジニアリング攻撃、SMS認証コードの窃取、電話番号の再割り当て悪用、被害者に認証情報を明かすよう仕向ける詐欺電話といった、アカウント乗っ取りの一般的な手口を対象としています。
WhatsAppのパスキーがユーザーを保護
パスキーを利用すると、ユーザーは指紋認証やFace ID、画面ロックコードといったデバイスに紐づいた認証方式でWhatsAppに再ログインできるようになります。
この方式では、ユーザーが認証コードやPINを手動で入力する必要がなくなります。代わりに、デバイスに結び付けられ、ユーザー本人によるローカルなロック解除手段で保護された認証メカニズムがログイン処理を担います。
この方法により、フィッシングサイトで盗まれた認証情報や、WhatsAppのサポート、友人、家族、取引先になりすました詐欺師から入手した認証情報の悪用効果が低下します。
たとえ攻撃者が被害者を騙してSMSコードを聞き出したとしても、アカウントがパスキーで保護されていれば、さらなる認証の壁に阻まれる可能性があります。
WhatsAppは、パスキーをアカウント所有者であることを確認する最も速く、最も安全な方法だと説明しています。ユーザーは「設定」＞「アカウント」＞「パスキー」からこの機能を設定できます。
さらに、同プラットフォームは同一アカウントでの複数パスキー登録にも対応しました。これにより、AndroidとiOSの両方の端末を使い分けるユーザーも、両方のプラットフォームで認証方式を登録できるようになります。
また、WhatsAppは現行の6桁の2段階認証用PINを、より堅牢なパスワード方式へと置き換えつつあります。ユーザーは特殊文字を含む、より長い英数字パスワードを設定できるようになり、推測攻撃やブルートフォース攻撃、脆弱なPINの使い回しへの耐性が高まります。
2段階認証は引き続き、攻撃者がワンタイムログインコードを入手した場合でも不正なアカウント登録を阻止するための、独立したセキュリティ層として機能し続けます。
データ侵害防止
このパスワード強化は、「123456」のような推測されやすい数字のPINを使いがちなユーザーにとって特に重要な意味を持ちます。パスワードだけでは端末の侵害やソーシャルエンジニアリングのリスクを完全になくすことはできませんが、より長く複雑な認証情報にすることで、攻撃者がアカウントを乗っ取るために必要な労力を増やすことができます。
さらにWhatsAppは、Androidユーザー向けに、連絡先に登録されていない番号からの着信について、発信者に関する状況情報を表示する機能も導入します。この画面には、未知の発信者が別の国に所在しているかどうか、また受信者とその番号が共有しているWhatsAppグループがあるかどうかが表示されます。
この追加情報により、ユーザーは応答する前に不審な着信を見分けやすくなります。詐欺キャンペーンでは、緊急性の演出や見慣れない国際電話番号、一見つながりがあるように見せかけるコミュニティとの関連性などを悪用して、信頼を得ようとするケースがよくあります。通話段階で追加のメタデータを提供することで、WhatsAppはユーザーが発信者の正当性を見極める猶予を与えることを目指しています。
これらの新機能は、多層防御モデルを強化するものです。パスキーはログイン認証を強化し、より強固なパスワードは2段階認証を改善し、発信者情報は会話が始まる前の段階でソーシャルエンジニアリングへの露出を減らす助けとなります。
研究者らは、2026年7月1日から7月4日までの約4日間の活動で生成された、1,395個のファイルを含む160MBの運用用アーカイブを発見しました。
Prevent incidents due to slow investigations. Power your Tier 1 with threat intelligence from 15K SOCs: Integrate TI Lookup in your SOC
翻訳元: https://gbhackers.com/whatsapp-passkeys-now-protect-over-1-billion-users/
