WhatsAppは、10億人以上のユーザーが現在パスキーを使ってメッセージングプラットフォームにアクセスしていることを確認しました。これは、コンシューマー向けテクノロジーにおけるパスワードレス認証の導入としては最大級の規模となります。
この節目は、より広範なアカウントセキュリティの改善とも重なっています。具体的には、これまでのプラットフォームの6桁の2段階認証用PINに代わる新方式や、詐欺行為の低減を狙った新たな発信者コンテキスト表示機能が挙げられます。
パスキーを使うことで、WhatsAppユーザーは使い回し可能なパスワードやコードではなく、デバイスに紐づいた認証情報で本人確認を行えるようになります。ユーザーは指紋センサー、Face ID、またはデバイスの画面ロック方式を使ってアクセスを承認できます。
この機能は「設定 > アカウント > パスキー」から利用でき、ユーザーは自分のアカウントに紐づくパスキーを追加・確認できます。
このセキュリティ上の利点は、根底にある暗号設計に由来します。パスキーはユーザーのデバイス上に保存・保護された秘密鍵を使用し、認証の際にはサービス側が保持する対応する公開鍵が用いられます。
被害者がフィッシングサイトに入力したり詐欺師に開示したりできるような使い回し可能な秘密情報が存在しないため、パスキーは認証情報の窃取、フィッシング、クレデンシャルスタッフィング、さらには一部のSIMスワップを悪用したアカウント乗っ取りのシナリオに対して、より高い耐性を持ちます。
WhatsAppは、AndroidとiPhoneの両方を使用するユーザー向けにパスキー対応を拡大しています。ユーザーは1つのWhatsAppアカウントに複数のパスキーを登録できるため、対応デバイスやエコシステムを移行する際にSMS認証への依存を減らせます。
同社は別途、2段階認証の仕組みも刷新しています。WhatsAppはこれまで、SMSベースの登録後の追加の保護層として、6桁の数字PINの設定をユーザーに求めていました。
これにより不正なアカウント登録に対する一定の障壁は生まれていましたが、桁数の少ないPINは複雑さに乏しく、ユーザーが123456のような予測可能な組み合わせを選んだり、複数のサービスでコードを使い回したり、アカウント認証情報を漏らすよう操られたりした場合には脆弱になりかねませんでした。
新しい方式の下では、WhatsAppユーザーは専用の英数字パスワードを設定できるようになります。新しいパスワードは最低8文字以上で、少なくとも1文字のアルファベットと1つの数字を含む必要があります。
ユーザーはさらに特殊文字を含めることで、パスワードの強度を高めることも可能です。この変更により、6桁の数字コードと比べて攻撃者が試行し得る組み合わせの数が大幅に増加し、総当たり攻撃や認証情報推測攻撃がより困難になります。
WhatsAppはさらに、Androidユーザー向けに目立たない形の詐欺対策機能も導入しました。未知の番号から着信があった場合、着信画面に追加のコンテキスト情報が表示されるようになります。これには、その番号が別の国と関連付けられているかどうかや、発信者が受信者と同じWhatsAppグループに参加しているかどうかが含まれます。
この表示はあくまで発信者の身元を保証するものではありませんが、ユーザーが予期しない要求に応じる前に一呼吸置く助けとなります。
これは特に、ビッシング(音声フィッシング)や、なりすまし詐欺のキャンペーンに関連しています。こうした攻撃では、攻撃者が緊急性の演出や見知らぬ電話番号、確認コードの要求を利用してアカウントを侵害するケースが多く見られます。
デバイスに紐づくパスキー、より強固な2段階認証、そして発信者コンテキストによる警告表示を組み合わせることで、WhatsAppはアカウント乗っ取りに対する多層的な防御を強化しています。
従来型の6桁PINをいまだに使用しているユーザーは、セキュリティ設定を見直し、この更新が利用可能になり次第、固有の英数字パスワードへ移行することが推奨されます。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化
翻訳元: https://cyberpress.org/whatsapp-passkeys-protect-more-than-1-billion-users/
