WhatsAppのセキュリティとプライバシー機能に対する反応と批判

この記事では、 WhatsAppメッセージング サービスのセキュリティとプライバシー機能の歴史的評価と批判を時系列で詳しく説明します。

2011年5月20日、オランダの身元不明のセキュリティ研究者が「WhatsappHack」という偽名で、認証プロセスの欠陥を利用してWhatsAppアカウントを乗っ取る方法をオランダのウェブサイトTweakers.netとGeenStijlに公開した。この方法では、別の電話番号から人のアカウントにログインし、送信される確認テキストメッセージを傍受する。「WhatsappHack」は、SymbianとAndroidの両方のオペレーティングシステムでこれを実行する方法を提供した。記事の公開から1日後、WhatsAppはAndroidとSymbianの両方のクライアントにパッチをリリースした。^{[36] [37] [38]}

2011年5月には、WhatsAppを介した通信がパケット解析の危険にさらされるという新たなセキュリティホールが報告された。WhatsAppの通信データは平文で送受信されていたため、パケットトレースが利用可能であればメッセージは簡単に読み取られる可能性がある。^[39]

2012年5月、セキュリティ研究者はWhatsAppの新しいアップデートでメッセージが暗号化されて送信されていることに気づいたが、^{[40] [41] [42]}使用された暗号化方式は「壊れている」と説明した。^{[43] [44]}同年8月、WhatsAppのサポートスタッフは、iOSおよびAndroid（ BlackBerry、Windows Phone 、Symbianは除く）向けのWhatsAppソフトウェアの「最新バージョン」で送信されたメッセージは暗号化されていると述べたが、暗号化方式は明記しなかった。^[45]

2012年1月6日、正体不明のハッカーが、ユーザーのアカウントに関連付けられた電話番号がわかっていれば、WhatsAppユーザーのステータスを変更できるウェブサイトを公開した。1月9日、WhatsAppは問題を解決したと報告した。実際には、WhatsAppの解決策はウェブサイトのIPアドレスをブロックすることだったが、これにより同じことを実行できるWindowsツールが作られるようになった。この問題はその後、現在ログイン中のセッションでIPアドレスチェックを導入することで解決された。^{[46] [47]}

2012年9月14日、Heise SecurityはWhatsAPIを使用してWhatsAppアカウントを乗っ取る方法を実演しました。^{[48]その後まもなく、WhatsAppは}オープンソースプロジェクト であるWhatsAPIの開発者に対して法的措置を取ると脅し、WhatsAPIは一時的にソースコードを削除しました。^[49] しかし、これは根本的なセキュリティ上の欠陥に対処するものではなく、Heise SecurityはWhatsAppアカウントのハッキングを成功裏に再現できたと主張しました。WhatsAPIチームはその後、活発な開発を再開しました。^[50]

2013年3月31日、サウジアラビア 通信情報技術委員会（CITC）は、サービスプロバイダーが監視およびプライバシー規制を遵守するための真剣な措置を講じない限り、WhatsAppなどのアプリケーションに対して措置を講じる可能性があることに言及した声明を発表しました。^{[51] [更新が必要]}

2014年2月、シュレスヴィヒ＝ホルシュタイン州データ保護局 [de]は、エンドツーエンドのクライアント側暗号化技術などのプライバシー保護が欠けているとして、WhatsAppの使用を控えるよう勧告した。^[52] 2014年後半、WhatsAppはエンドツーエンド暗号化の実装を開始し、2016年4月に完了した。^[29]

WhatsAppのセキュリティ規制遵守に関するいくつかの懸念について、カナダとオランダの政府による合同調査が開始された。調査官の主な懸念は、WhatsAppがユーザーに携帯電話のアドレス帳全体をアップロードすることを要求し、WhatsAppを使用していない連絡先の連絡先情報も含め、それをWhatsAppのサーバーにミラーリングすることだった。WhatsAppはこれらの電話番号をハッシュで保存していたが、データはソルト化されていなかった。^{[53] [54] [55] [56]} 2015年後半、オランダ政府は、WhatsAppがハッシュ化方法を変更して逆ハッシュ化をはるかに困難にし、したがってすべての規則と規制に準拠していると主張するプレス声明を発表した。^[57]

2014年12月1日、インドラジート・ブヤン氏とサウラフ・カー氏は、WhatsAppメッセージハンドラーの脆弱性を実証した。この脆弱性により、特別に細工された2キロバイトのメッセージを送信するだけで、誰でも遠隔からWhatsAppをクラッシュさせることができる。メッセージを受信したユーザーは、会話を開いたときにWhatsAppがクラッシュするのを避けるために、会話全体を削除する必要がある。 ^[58] 2015年初頭、WhatsAppがブラウザから使用できるウェブクライアントをリリースした後、ブヤン氏はクライアントに2つの新しいセキュリティ問題、WhatsApp写真プライバシーバグとWhatsAppウェブ写真同期バグがあることを発見した。^{[59] [60]}

2016年3月2日、WhatsAppはユーザーが連絡先とPDFファイルを共有できるドキュメント共有機能を導入しました。 ^[61] しかし、WhatsAppは添付ファイルを自動的にダウンロードするデフォルト設定について批判を受けており、この機能がPDF以外のものにも拡張されると、マルウェアや悪意のあるファイルがダウンロードされるのではないかという懸念が生じました。^[62]

2016年8月、WhatsAppは、アカウント所有者の電話番号や集計された分析データなどのアカウント情報をFacebookと共有し始めると発表した。WhatsAppは、ユーザーのアドレス帳、メッセージの内容、メタデータは共有されないと主張している。WhatsAppによると、このアカウント情報は「人々が当社のサービスを使用する頻度に関する基本的な指標を追跡し、WhatsAppでのスパム対策を強化するため」に共有される。また、電話番号をFacebookのシステムに接続することで、Facebookはより適切な友達を提案し、アカウントを持っている場合はより関連性の高い広告を表示することができる」としている。さらに、「ユーザーデータは広告主と共有されず、Facebookサービス内でのみ使用される」と述べられており、ユーザーは広告目的でFacebookとこのデータを共有することをオプトアウトする選択肢が与えられる。^{[63] [64] [65]}

2016年10月、第29条作業部会は、更新された利用規約とプライバシーポリシーに関する情報がユーザーに提供された方法、そしてその結果としてユーザーの同意の有効性について深刻な懸念を抱いていると述べた。^[66]

2016年4月5日時点の最新クライアントから、ファイル転送や音声通話を含むユーザーのすべての通信でエンドツーエンドの暗号化がサポートされています。鍵交換にはCurve25519 、セッション鍵の生成にはHKDF （暗号化にはCBCモードのAES-256 、整合性検証にはHMAC - SHA256）、両ユーザーのID鍵の30桁の指紋2つを生成するにはSHA512を使用し、ユーザーは暗号化を検証できます。暗号化により、企業でさえユーザーの通信を解読できなくなります。このアップデートはセキュリティ専門家やプライバシー愛好家に好評で、アムネスティ・インターナショナルもこの動きを賞賛しました。米国連邦捜査局は、このアップデートが法執行機関の活動を脅かすものだと批判しました。^[67]

2016年、WhatsAppは電子フロンティア財団の「セキュアメッセージングスコアカード」で7点中6点を獲得した。WhatsAppは、送信中の通信が暗号化されていること、プロバイダーがアクセスできない鍵で通信が暗号化されていること、ユーザーが連絡先の身元を確認できること、暗号化鍵が盗まれた場合でも過去のメッセージが保護されていること、最近の独立したセキュリティ監査を完了していること、セキュリティ設計が適切に文書化されていることでポイントを獲得した。7点目が欠けているのは、コードが独立したレビューに公開されていないことである。^[68]

2017年1月15日、ルール大学ボーフム校の研究チームは、WhatsAppやその他のメッセージングサービスのグループメッセージングプロトコルのセキュリティ分析を発表し、WhatsAppのサーバーがグループのメンバーを事実上制御していることにプライバシー上の懸念があることを発見した。報告書では、そのためグループチャットに任意の電話番号を追加することができ、将来の通信が安全でなくなる可能性があることが判明した。^[69]

2017年10月、ドイツのソフトウェア会社Open-Xchangeは、WhatsAppなどがプロプライエタリソフトウェアを使用していることを批判し、オープンソースの代替ソフトウェアを開発する計画を発表した。^[70]

2017年1月13日、ガーディアン紙は、セキュリティ研究者のトビアス・ボルター氏が、受信者に通知せずに最初に配信されなかったメッセージを強制的に再暗号化するWhatsAppのポリシーが、WhatsAppがこれらのメッセージの内容を漏洩できる抜け穴になっていることを発見したと報じた。^[71]

WhatsAppとOpen Whisper Systemsの関係者はこの評価に反対した。^{[72] [73]}

73人のセキュリティ研究者からの苦情を受けて、ガーディアンは記事を大幅に改訂・訂正し、ボルターのフォローアップ記事は削除された。^[74] 2017年6月、ガーディアンの読者編集者ポール・チャドウィックは「ガーディアンは1月に、人気のメッセージサービスWhatsAppに深刻なセキュリティ上の欠陥があり、言論の自由に対する大きな脅威であると報じたのは間違いだった」と書いた。^{[75] [76]}

「詳細な調査の結果、報道と編集の過程のいくつかの段階で誤解や間違い、誤解があったことがわかった。その結果、彼らは主張を誇張した記事を作成した。」

— ポール・チャドウィック、ガーディアン紙^[76]

チャドウィック氏はまた、ガーディアン紙の記事以降、WhatsAppは「2月にオプションの2要素認証を導入したことで、より安全に保護されている」と指摘した。 ^[76]

2019年5月、WhatsAppにセキュリティ上の脆弱性があり、電話をかけるだけで遠隔地の人がスパイウェアをインストールできることが明らかになりました。電話をかけるだけで、応答する必要すらありませんでした。 ^[77]その後、2019年6月には別の脆弱性が明らかになり、被害者の同意や気付かれずに音声通話をビデオ通話に変換できるようになりました。このバグに対して5000ドルのバグ報奨金が提供されました。 ^[78]

2019年6月、WhatsAppは、同社のコミュニケーションプラットフォームを使用して不釣り合いに大量のメッセージを送信するユーザーに対して法的措置を取ると発表した。同社は、同社のプラットフォームはプライベートメッセージング、または企業がビジネスアプリを通じて顧客とやり取りするためのものであると改めて強調した。同社はウェブサイトの通知で、「2019年12月7日より、自動メッセージングや一括メッセージングなど、当社の利用規約に違反する不正行為に関与している、または他者を手助けしていると判断されたユーザーに対して、WhatsAppは法的措置を取る」と述べた。^[79]

2019年9月、WhatsAppは「全員削除」機能の実装について批判された。iOSユーザーはメディアをカメラロールに自動的に保存することを選ぶことができる。ユーザーが全員のメディアを削除しても、WhatsAppはiOSカメラロールに保存された画像を削除しないため、ユーザーは画像を保持できる。WhatsAppは「機能は正常に動作している」と述べ、Appleのセキュリティレイヤーによりカメラロールに保存された画像は削除できないと声明を発表した。^[80]

2019年11月、WhatsAppはユーザーが自分をグループに追加するユーザーを決定できる新しいプライバシー機能をリリースしました。^[81]

2019年12月、WhatsAppは、ハッカーが悪意のあるGIF画像ファイルを使用して受信者のデータにアクセスできるようにするセキュリティ上の欠陥を確認しました。この欠陥は、AwakenedというユーザーがGitHubで最初に報告し、エクスプロイトの仕組みを説明しました。受信者がWhatsApp内でギャラリーを開くと、悪意のある画像を送信していなくてもハッキングがトリガーされ、デバイスとそのコンテンツが脆弱になります。この欠陥は修正され、ユーザーにWhatsAppを更新するよう促されました。^{[82] [83] [84]}

2019年12月17日、WhatsAppは、サイバー攻撃者がグループチャットの全メンバーのメッセージングアプリケーションを繰り返しクラッシュさせることを可能にするセキュリティ上の欠陥を修正しました。このバグは、アプリを完全にアンインストールして再インストールすることによってのみ修正できました。^{[85]このバグは2019年8月に}チェックポイントによって発見され、WhatsAppに報告されました。バージョン2.19.246以降で修正されました。^{[86] [87]}

2020年4月、WhatsAppはNSOグループを、同社が開発したスパイウェアを使用して少なくとも1,400人のWhatsAppユーザーをハッキングしたとして提訴した。これに対し同社は、顧客が同社のソフトウェアをどのように使用するかについて責任を負わず、制御することもできないと主張して反論した。シチズンラボの調査によると、WhatsAppをハッキングするためにこのソフトウェアを使用した可能性のある国には、サウジアラビア、バーレーン、カザフスタン、モロッコ、メキシコ、アラブ首長国連邦などがある。^[88]

2020年12月16日、 Googleに対する反トラスト訴訟の一環として、WhatsAppがGoogleにプライベートメッセージへのアクセスを許可していたという苦情が提出された。この苦情は進行中の訴訟の一部であったため大幅に編集されており、そのため、この申し立てがアプリのエンドツーエンドの暗号化の改ざんを主張しているのか、Googleがユーザーのバックアップにアクセスしたと主張しているのかは判断できない。^[89]

2021年1月、WhatsAppはプライバシーポリシーの更新を発表し、2021年2月からWhatsAppがユーザーのメタデータを収集し、Facebookとその「グループ企業」と共有することを明らかにした。 ^{[90]これまで、ユーザーはこのようなデータ共有をオプトアウトすることができましたが、これは今後は選択肢にはなりません。新しいポリシーは、} GDPRに準拠するため、EU内では完全には適用されません。^[91]新しいポリシーでは、エンドツーエンドで暗号化されたメッセージをWhatsAppが閲覧したり送信したりすることはできませんが、Facebookは、ユーザーの電話とオペレーティングシステム、ユーザーのタイムゾーン、IPアドレス、プロフィール写真、ステータス、電話番号、アプリの使用状況、WhatsAppに保存されているすべての連絡先などのデータを閲覧できるようになります。^[92]

この動きはFacebookとWhatsAppに対して激しい批判を呼び、批評家たちはユーザーのプライバシーを侵害していると主張している。^[93]

Facebookのデータ共有に関する反発と明確性の欠如に直面したWhatsAppは、更新されたプライバシーポリシーの実施を2021年2月8日から2021年5月15日に延期したが、^{[94] [95] [96]}新しい条件に同意しない人に対してアプリの機能を制限したり、同意するよう繰り返しリマインダーを送信したりする予定はないと発表した。^[97]

2021年9月、プロパブリカは、WhatsAppがユーザーのコミュニケーションを調査するために外部の請負業者と人工知能システムを使用していること、および法執行機関と協力していることに関する広範な調査を発表しました。調査には、米国証券取引委員会に内部告発者が提出した苦情の情報が含まれています。^[98] WhatsAppの社内文書は、FacebookがWhatsAppを「プライバシーの模範」としてブランド化するために多大な努力を払っていることを明らかにしました。

WhatsAppは、アクセンチュアを通じて、テキサス州オースティン、ダブリン、シンガポールのオフィスで20代から30代の契約社員約1000人を雇用している。彼らの仕事はWhatsAppユーザーから報告されたコンテンツを確認することで、時給は16.50ドルから。ユーザーが受信したメッセージにフラグを付けると、そのメッセージと過去4件のメッセージが復号化され、このコンテンツ確認チームに送られる。確認担当者は、何もしないか、ユーザーをウォッチリストに入れるか、利用禁止にするかを1分以内に決定しなければならない。いたずらや曖昧なコンテンツ、言語のニュアンス、翻訳ミスなどにより、このプロセスは誤解を招きやすい。

WhatsAppは人工知能システムを使用して、ユーザーから収集した暗号化されていないデータ（プロフィール画像とステータス、電話番号、IMEI、OS、ユーザーのWhatsAppグループの名前と画像、ユーザーの電子機器のリスト^{[説明が必要]}、FacebookまたはInstagramのアカウント）をスキャンし、疑わしいパターンや、以前に不正とみなされた用語や画像と比較します。

WhatsAppは、メッセージのメタデータを司法省などの法執行機関と共有しています。法的に義務付けられている場合、または独自の裁量（Facebookの漏洩を調査する場合など）で、重要な位置情報やアカウント情報、または対象者にメッセージを送信した受信者に関するリアルタイムデータを提供することができます。WhatsAppメッセージのメタデータは、内部告発者のナタリー・エドワーズのような人々を投獄するために使用されてきました。2020年、WhatsAppは、児童搾取の可能性がある画像40万件を国立行方不明・搾取児童センターに報告しました。

2024年9月、連邦取引委員会は、1914年連邦取引委員会法第6条(b)に基づき、ユーザーおよび非ユーザーのデータ収集（子供やティーンエイジャーを含む）と企業によるデータ使用に関する情報を提供するよう当局が出した命令に対する9つの企業（WhatsAppを含む）の回答をまとめた報告書を発表した。報告書によると、企業のユーザーおよび非ユーザーのデータ慣行により、個人が個人情報の盗難、ストーカー行為、違法な差別、精神的苦痛や精神衛生上の問題、社会的スティグマ、評判の低下に対して脆弱になっていることが判明した。^{[99] [100] [101]}

2024