世界で20億人以上のユーザーを持つインスタント・メッセンジャー、WhatsAppのプライバシーの欠陥が攻撃者に悪用され、アプリの「View once」機能を回避してメッセージを再度閲覧できるようになっている。
Metaによると、WhatsAppの “View once “機能（3年前に導入）は、ユーザーが写真、ビデオ、音声メッセージを非公開で共有することを可能にするもので、受信者はメッセージを転送、共有、コピー、スクリーンショットすることができない。
「写真、ビデオ、ボイスメッセージを一度送ると、二度と見ることはできません。
「送信した写真やビデオは、受信者の写真やギャラリーに保存されません。また、受信者は、あなたが一度だけ表示を使って送ったもののスクリーンショットを撮ることもできません。”
ただし、デスクトップやウェブプラットフォームではスクリーンショットのブロックに対応していないため、”View once “でブロックされるのは、WhatsAppユーザーがモバイル端末で送信内容をスクリーンショットすることだけです。
さらに、Zengo Xリサーチチームは、Metaがこの機能を「怠慢な方法」で実装しており、攻撃者が「View once」メッセージのコピーを簡単に保存・共有できるようになっていることを発見しました。
ZengoのCTOであるTal Be’eryは、「我々はMeta社に責任を持って調査結果を開示しましたが、この問題が既に悪用されていることを知り、WhatsAppユーザーのプライバシーを守るために公表することにしました」と述べている。
このメッセージは通常のメッセージとほとんど変わりませんが、WhatsAppのウェブサーバー（「ブロブストア」）にホストされている暗号化されたデータへのURLと復号化キーが含まれています。さらに、”View once “メッセージは “View once “フラグを “true “に設定します。
「偽りのプライバシー
Be’ery氏は、WhatsAppの “View once “機能により、ユーザーは一度しか閲覧されるべきでないメッセージを送信することができると説明する。しかし、そのメッセージは受信者の全てのデバイスに送信され、そのデバイスにはメッセージの表示が許可されていないものも含まれる。さらに、メッセージはダウンロード後すぐにWhatsAppのサーバーから削除されない。
特に「View once」メッセージの一部には、ダウンロードせずに閲覧できる低画質のメディアプレビューも含まれているため、メディアの露出を管理された環境やプラットフォームに限定することは不可能である。
さらに、”View once “メッセージは通常のメッセージと同様に機能するが、”View once “フラグがついている。しかし、攻撃者はこの「View once」フラグを偽に設定することで、このプライバシー機能を回避し、メッセージをダウンロード、転送、共有することができる。
「プライバシーはインスタントメッセージにとって非常に重要です。WhatsAppはユーザーの会話にEnd-to-End Encryption (E2EE)をデフォルトでサポートすることで、そのことを認めています」とBe’eryは結論付けた。
「しかし、プライバシーがないよりも悪いのは、実際にはプライバシーがないにもかかわらず、ある種のコミュニケーションはプライバシーがあるとユーザーが思い込んでしまうような、誤ったプライバシー感覚です。現在のところ、WhatsAppのView onceは偽プライバシーの露骨な形態であり、徹底的に修正されるか、放棄されるべきです。”
Zengoの研究者がこの問題をMetaに初めて報告し、このプライバシー問題の詳細を記した報告書を発表したが、この欠陥は少なくとも1年前から「View Once」メッセージを保存するために悪用されており、悪用する人々はプロセス全体を効率化するためにブラウザのアドオンまで作成している。
少なくとも2つのGoogle Chromeの拡張機能（1つは2023年にリリースされたもの）を知っており、その1つはView Onceフラグを無効にすることができる。
Meta社はこの件に関するメールに返信し、現在View Once機能の変更を実施中であると述べた。WhatsApp Webには修正版が提供される予定だが、WhatsAppのカスタムアプリを使用してプライバシーの欠陥が悪用される可能性があるかどうかは不明だ。
「WhatsAppのスポークスマンは、「バグバウンティプログラムは外部の研究者から貴重なフィードバックをいただく重要な手段です。”私達は引き続きユーザーに対し、知り合いや信頼できる相手にのみビューワンスメッセージを送信するよう呼びかけています。”
Comments