WhatsAppが8月25日に発表したところによると、現在10億人以上のユーザーがアプリへの再ログインにパスキーを利用しているといいます。
今回の発表では、さらに2つのセキュリティ強化策も明らかにされました。1つはより強固な二段階認証方式、もう1つは見知らぬ番号からの着信時に表示される追加情報です。これは、これまでで最大級のパスワードレス認証の展開の一つといえます。パスキーはすでに完全に主流の技術となっており、FIDOアライアンスの推計によれば、世界中で50億件のパスキーが利用されており、消費者の75%が少なくとも1つのアカウントでパスキーを有効にしているとのことです。
今回変更されたのは、以下の3点です。
- パスキー対応は当初Androidで開始され、その後iOSにも拡大されました。現在WhatsAppは1つのアカウントに対して複数のパスキーの登録に対応しているため、AndroidスマートフォンとiPhoneを使い分けているユーザー(または両方を使用しているユーザー)も、それぞれの端末にパスキーを登録できるようになりました。
- 二段階認証は、単純な6桁のPINから、特殊文字を含められるより長い英数字パスワードへと移行します。これにより、推測やブルートフォース攻撃がはるかに困難になります。
- Androidでは、連絡先に登録されていない番号からの着信について、その番号が海外からのものかどうか、共通のグループが存在するかどうかなど、追加の情報が表示されるようになりました。これは、詐欺師が悪用する「緊急性」を煽る手口に対抗する、小さくも有用な工夫です。
パスキーはフィッシングに強い仕組みです。偽サイトに入力したり詐欺師に渡したりするようなパスワードやSMSコードが存在しないためです。その代わり、パスキーは端末や認証情報マネージャー内に保存され、指紋、顔認証、画面ロックコードで解除する仕組みになっています。また、SMSによるワンタイムパスコードの配信が不安定な地域でも有用であり、これがわずかな期間で利用者数が10億人に達した理由の一つと考えられます。
アップグレードされた二段階認証パスワードは、実質的な弱点を解消するものです。「123456」のようなPINは一般的で脆弱、かつ使い回されがちでした。特殊文字を含むより長い英数字パスワードにすることで、たとえ攻撃者が何らかの方法でワンタイムコードを入手したとしても、アカウント乗っ取りの試みに対する防御力が高まります。
発信者に関する追加情報の機能により、ユーザーは見覚えのない番号からの着信に応答する前に、その正当性を判断するための材料を得られるようになります。
見覚えのない番号? 私たちがチェックします。
WhatsAppユーザーが取るべき対応
ユーザーはパスキーの設定と二段階認証パスワードのアップグレードを行う必要があります。一方、発信者情報の機能は対応するAndroid端末では自動的に表示されます。
- 設定 > アカウント > パスキーからパスキーを設定し、端末の指示に従ってください。AndroidとiOSの両方の端末を使用している場合は、2つ目のパスキーの追加も忘れないようにしましょう。
- 二段階認証にまだ6桁のPINを使用している場合は、特に予測されやすいPINを設定している方は、新しいパスワード形式が利用可能になり次第アップグレードしてください。WhatsAppの二段階認証の設定方法については、こちらのブログで手順を確認できます。すでに有効にしている場合は、二段階認証を選択するとPINを変更するオプションが見つかります。
- まだ設定していない場合は、二段階認証に復旧用メールアドレスを追加してください。パスワードを忘れた場合にリセットできる唯一の方法です。
- Androidユーザーは、見知らぬ番号からの着信に応答する前に、新しく表示される発信者情報に注意を払い、急かされるような状況をむしろ警戒すべき兆候として捉えるようにしてください。
パスキーと強化された二段階認証は、遡って適用されたり強制されたりするものではありません。そのため、旧来のPINを使い続けているアカウントやパスキーを未設定のアカウントは、ユーザー自身がアップグレードするまでそのままの状態が続きます。
詐欺師は、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺テキストメッセージ、悪意のあるサイトなどからあなたを守ります。リアルタイムのAI搭載Scam Guardも標準搭載です。
