Signal・WhatsApp乗っ取りの手口2026｜FBI/CISA警告と企業の対策チェックリスト

結論から先に。 2026年3月20日、米FBIとCISAは「ロシア諜報機関が商用メッセージングアプリのアカウントを標的にしている」とする共同の注意喚起（PSA I-032026-PSA）を出し、同6月26日に手口の追加（I-062626-PSA）で更新した。中心はSignalだが、同じ手口はWhatsAppなど他のアプリにも応用が利く。攻撃者は暗号化そのものを破っていない。「Signalのサポートを名乗って認証コードやPIN、QRコード、そして最近ではバックアップ復元キーを聞き出し、正規の“リンク済みデバイス”として自分の端末をつなぐ」——つまり暗号化を破らず、横から回り込んでアカウントごと乗っ取るのが本質だ。だからエンドツーエンド暗号化を過信していると、対策の的を外す。

この記事は、報道の要約で終わらせない。攻撃の技術的な中身を一次情報で押さえたうえで、年商1〜10億円規模で社内にIT判断力が乏しい会社が、業務で使うチャット/メッセージアプリのリスクをどう棚卸しし、端末管理・BYOD・シャドーITをどう統制し、発注前に何を確認すべきかを、判断フレームとチェックリストに落とし込む。最後に「これはうちの問題か」を自己診断できる10項目と、GXOに相談すべきタイミングをまとめた。

注記：一次情報は、FBI IC3の公開注意喚起（PSA I-032026-PSA、2026-03-20発出／I-062626-PSA、2026-06-26更新）、CISAの同名リソースページ、および技術的な初報であるGoogle Threat Intelligence Group（GTIG）ブログ（2025-02-20）を確認した。攻撃手法・攻撃者名は原則としてこれらの公式・一次に拠り、二次報道のみの記述はその旨を明記する。

---

この記事を読むべき人

• 海外拠点・取引先・現場とのやり取りで、Signal・WhatsApp・Telegram・LINEなどを業務利用している、あるいは黙認している中小企業の経営者・事業責任者
• 情シスが兼任・ひとり体制で、誰がどのアプリを何に使っているか把握しきれていない会社
• 「暗号化アプリだから大丈夫」と説明されて、それ以上踏み込めていない決裁者
• BYOD（私物端末の業務利用）を明確なルールなしに走らせている会社
• 大企業の取引先で、サプライチェーンの踏み台として狙われうる立場にある会社

一つでも当てはまるなら、この攻撃は「遠い国の政府職員の話」ではなく、自社のガバナンスの穴を突く話として読んでほしい。

---

時系列の整理──「2025年2月のFBI警告」は誤解

この事案は報道が錯綜しており、日付と発出機関を取り違えた解説が国内に多い。まず正しい時系列を押さえる。ここを間違えると、脅威モデルも対策の優先度もずれる。

つまり、FBI・CISAの正式なPSAが出たのは2026年3月であり、2025年2月はあくまでGoogle（民間）の脅威インテリジェンスによる技術報告だ。両者を「2025年2月にFBI/CISAが共同警告」と一括りにするのは事実誤認である。本記事はこの点を一次情報で修正している。鮮度の観点でも、直近2026年6月に手口がアップデートされたことこそ、いま読み直す価値がある。

---

攻撃の仕組み──暗号化を破らず「横から回り込む」

FBI・CISAのPSAは、手口の核心をこう表現している。「フィッシングは最も稚拙でありながら、最も効果的な侵害手段であり、エンドツーエンド暗号化を含む他の防御を無意味にすることが多い」。攻撃は大きく次の段階を組み合わせる。

1. 認証コード・PINの詐取（最も多い入口）

攻撃者はまず被害者の電話番号でアカウント登録を試み、被害者のスマホにSMS認証コードを送らせる。そのうえで**「Signalサポート」や「セキュリティ確認」を名乗り、送られてきたコードやアカウントPINを聞き出す**。コードを渡した瞬間、攻撃者は被害者のアカウントを別端末で有効化できる。FBI・CISAが「最も頻繁に観測される」とするのが、このサポート詐称型のソーシャルエンジニアリングだ。

2. QRコード／リンクデバイスの悪用

Signal・WhatsAppには、PCやタブレットで使うためにスマホでQRコードを読み取って端末を紐付ける「リンク済みデバイス」機能がある。攻撃者は悪意あるQRコードを読み取らせ、自分の端末を被害者のアカウントに正規のリンク済みデバイスとして登録する。以降、被害者が送受信するメッセージは、暗号化されたまま攻撃者の端末にもリアルタイムで正規配信される。GTIGの技術報告によれば、この誘導には主に次のバリエーションがある。

• 改ざんしたグループ招待リンク（GTIGがUNC5792として追跡）：正規のグループ招待の遷移先コードを、端末リンク用のURI（sgnl://linkdevice?...）に差し替える。見た目は普通の招待リンクだが、開くと攻撃者端末が紐付く。
• 偽のデバイス連携ページ／偽のセキュリティ警告（UNC4221）：Signal公式を装ったページでQRコードを読み取らせる。ウクライナ軍の砲撃誘導アプリ「Kropyva」を騙るキットや、閲覧者の位置情報を抜くペイロード（PINPOINT）も併用されたと報告されている。
• 端末直接操作（APT44／Sandworm）：戦場で確保した端末にリンク用QRを表示させ、攻撃者インフラへ紐付ける近接型の手口。

3. バックアップ復元キーの詐取（2026年6月に追加された最新ステップ）

FBI・CISAが6月26日の更新で加えたのがこれだ。Signalの**バックアップ復元キーは、いわばアカウントの「マスター資格情報」**にあたる。攻撃者は被害者にバックアップを有効化させ、復元キーを表示させ、それをチャットに貼り付けさせる。復元キーを握られると、過去の個人・グループのメッセージ履歴まで復元して読まれ、アカウントを乗っ取られる。しかもこのキーは、被害者が同じ電話番号で新規アカウントを作り直しても有効なままだと報じられている（二次報道）。つまり「作り直したから安心」が通用しない。

4. デスクトップ版のデータ窃取（マルウェア併用）

PC版のSignal Desktop／WhatsApp Desktopは、暗号化キーやメッセージDBをローカルに保存する。GTIGは、端末侵害後にそのフォルダごとメッセージを抜き取る手口（WAVESIGN、Infamous Chisel、PowerShellやRobocopyでの持ち出し等）を報告している。エンドポイント（PC）が守られていなければ、アプリの暗号化とは無関係に履歴が漏れる。

攻撃者は誰か（一次情報に拠る）

なお、一部の国内・海外解説には「Star Blizzard」等を本件の主犯として挙げるものがあるが、GTIGの本件技術報告およびFBI/CISAのPSAで明確に紐付いているのは上表のアクターである。本記事では確証のある範囲に限って記載した。

---

なぜ日本の中小企業の「経営課題」なのか──誠実なリスク評価

正直に言えば、いま名指しで狙われている一次標的は、米国・国際の政府職員、軍関係者、政治家、ジャーナリスト、そしてウクライナ関係者だ。あなたの会社が明日、FSBに直接狙われる確率は高くない。ここを煽って「明日にも御社が!」と書くのは不誠実だ。

だが、経営判断として本件を無視できない理由は別にある。「手口が汎用化し、標的が広がる」構造にこそ、中小企業のリスクがある。

• 手口が公開・模倣される：QRコードによる端末リンクや、サポート詐称でコードを聞き出す手口は、すでに技術詳細まで公開されている。国家系でなくても、金銭目的の攻撃者が同じ台本を回せる。事実、この種のソーシャルエンジニアリングは業種・国を問わず広がりやすい。
• サプライチェーンの踏み台：大企業と取引する中小企業のメッセージアカウントを乗っ取り、そこから発注先・取引先に**「本人になりすまして」偽の指示や請求を送る**手口は現実に起きている。守りが薄い中小が、大企業を狙う際の入口として選ばれる。
• 業務に流れる情報の質：業務チャットには、契約交渉の社内方針、価格、未公開の人事・M&A、取引先の個人情報、設計・技術の詳細、経営の意思決定が流れる。乗っ取られれば、競争優位の喪失・法的責任・信用毀損に直結する。
• シャドーIT／BYODの死角：情シスが把握していないアプリ利用（シャドーIT）と、私物端末の業務利用（BYOD）が野放しだと、「誰のどの端末が、どのアカウントに、いつ紐付いたか」を会社として一切追えない。この攻撃は、まさにその可視化されていない領域を突く。

要するに、これは「Signalが危ない」という話ではなく、業務コミュニケーションのガバナンスが設計されていない会社が危ないという話だ。ツールを禁止すれば済むのではなく、何を許可し、どの端末で、どう管理し、異常をどう検知するかという統制の問題に読み替えるのが、経営者としての正しい第一歩になる。ここが曖昧なままだと、いざという時にセキュリティ体制そのものを棚卸し・再構築するところから始めざるを得ず、対応が後手に回る。

---

「暗号化してるから安全」を分解する──経営者が陥る判断ミス

現場やベンダーから「暗号化アプリを使っているので安全です」と言われて、そこで思考を止めるのが最大の判断ミスだ。分解するとこうなる。

この表を経営会議に一枚出せるかどうかが、成熟度の分かれ目だ。もし社内で説明できる人がいないなら、それ自体が「今、外部の目で棚卸しすべきサイン」である。

---

企業が取るべき対策──優先度順・所要時間つき

IT専任が乏しい中小でも回せる順に並べた。「即日／1週間／1か月／継続」の4層で捉えるのがコツだ。上から着手すれば、コストをかける前にリスクの大半を削れる。

即日（1時間）：全社でリンク済みデバイスを棚卸し

全社員に、Signal・WhatsAppの「リンク済みデバイス」画面を確認させ、身に覚えのない端末があれば即解除するよう通達する。

• Signal：設定 →「リンクされたデバイス」→ 不明な端末を解除
• WhatsApp：設定 →「リンク済みデバイス」→ 不審な端末をログアウト

一度で終わりにせず、月次の定例確認として運用に組み込む。これはFBI/CISAとGTIGの双方が第一に挙げる基本動作だ。

即日（30分）：「コード・PIN・復元キーは誰にも渡さない」を全社周知

FBI・CISAの勧告の核心はここに尽きる。認証コード、PIN、パスワード、そしてバックアップ復元キーを、求められても絶対に共有しない。正規のサポートがこれらを聞くことはない。アプリ内の「サポート」を名乗るメッセージは敵性と見なす。万一、復元キーを漏らしてしまったら、直ちに新しいキーを生成し、過去のバックアップは侵害済みと考える。

1週間以内（2時間）：QRコード・招待リンクの取り扱いルール

• メールやWeb経由で届いたQRコードを、業務アプリで読み取らない
• デバイスリンクは情シスが指定した手順でのみ実施
• グループ招待リンクは、送信者に電話など別手段で真偽を確認してから開く
• グループの参加者一覧を定期的に見て、重複・不審な参加者がいないか点検する（FBI/CISA勧告）

1週間以内（1週間）：メッセージアプリの利用実態調査（シャドーIT洗い出し）

• 全社員アンケート：業務で使うアプリと用途
• 取引先・海外拠点との連絡手段の棚卸し
• 社用端末のMDMログからインストール状況を確認

その結果をもとに、許可アプリと禁止アプリの線引きを決める。ここで初めて「統制」が始まる。

1か月以内（2週間）：メッセージングセキュリティポリシーの制定

調査結果を正式なポリシーに落とす。骨子は次章のテンプレートを使う。

継続：フィッシング耐性訓練にQRコードとサポート詐称を追加

QRコード誘導とサポート詐称は、従来のメールフィッシング訓練だけではカバーできない。模擬訓練にこのパターンを足し、部門別にクリック率を集計して弱い部門に追加研修を行う。関連してフィッシングメール訓練の実施ガイドも参照してほしい。

デバイス・エンドポイント側の技術対策

こうした恒常運用を専任なしで止めずに回すのは難しい。棚卸し・判断・是正を月次で外部が伴走する専任がいなくても運用が止まらないセキュリティ顧問（月額リテイナー）のような形で、運用そのものを設計するのが現実的だ。

---

メッセージングアプリ横断・統制早見表

「Signalだけ」の話にしないために、業務で触れる主要アプリを横並びで見る。自社がどれを許可し、どこに管理の穴があるかを一望する土台にしてほしい。

原則は「外部連絡は原則Teams/Slack等の管理下に集約し、SignalやWhatsAppは業務上必要な範囲で例外承認制にする」ことだ。ゼロにするのは非現実的だから、許可・条件・監査をセットで設計する。

---

メッセージングアプリ・セキュリティポリシー（テンプレート骨子）

そのまま叩き台に使える骨子を示す。自社の実態に合わせて言い換えてほしい。

1. 適用範囲：役員・全従業員（派遣・業務委託先を含む）。

2. 許可アプリ：業務連絡に使えるアプリを明示（例：Microsoft Teams、Slack）。それ以外（Signal・WhatsApp・Telegram等）を業務利用する場合は情シスの事前承認を要する。

3. 禁止事項：未承認アプリでの機密情報（契約・個人情報・技術情報）の送受信／出所不明のQRコードによるデバイスリンク／不審なグループ招待の承認／認証コード・PIN・パスワード・バックアップ復元キーの他者への共有／私物端末への業務アカウントの無承認リンク（BYODで許可された場合を除く）。

4. 定期確認義務：毎月第1営業日にリンク済みデバイスを確認し、結果を所属長へ報告。

5. インシデント対応：不審なデバイスリンク・アカウント異常を発見したら直ちに情シスへ報告。情シスは受領後24時間以内に初動を完了。

---

発注前チェックリスト──外部にセキュリティを頼むなら、この順で確認する

「ベンダーに相談しよう」となったとき、いきなり見積もりを取ると失敗する。GXOが重視するのは、発注の前に自社の状態と発注範囲を言語化しておくことだ。次の順で埋めてから相談すると、提案の質と見積もりの妥当性を判断できる。

• 業務で使うメッセージ/チャットアプリと用途を、部門・取引先・海外拠点まで棚卸ししたか
• シャドーIT（把握外の利用）とBYOD（私物端末）の現状を把握したか
• 「暗号化しているから安全」で思考停止していないか、端末とアカウントの防御を分けて考えたか
• リンク済みデバイスの定期確認が運用に組み込まれているか
• 認証コード・PIN・復元キーを渡さない教育が全社に届いているか
• インシデント時のエスカレーションと初動時間（何時間以内に誰が動くか）が決まっているか
• 社用端末のMDM、PCのエンドポイント保護（EDR等）の有無を確認したか
• 対策を「即日／1週間／1か月／継続」の層に分け、外注すべき範囲と内製できる範囲を切り分けたか
• 初期費用だけでなく、月次の運用・教育・見直しコストまで見積もりに含めたか
• 成功指標（リンク確認の実施率、訓練クリック率、初動時間など）を測る形になっているか

---

ベンダーに必ず聞くべき5つの質問

見積書の金額だけを比べても良し悪しは分からない。次の質問への答えで、実務が分かっているベンダーかを見極める。

1. 「暗号化アプリだから安全」ではなく、端末とアカウントの防御をどう分けて設計しますか？ ——ここを曖昧にする相手は原理を理解していない。
2. シャドーITとBYODの棚卸しから入りますか、それともツール導入から入りますか？ ——ツール先行の提案は要注意。
3. リンク済みデバイスの定期確認やQR/サポート詐称訓練を、誰がどう運用に落としますか？ ——買って終わりでないかを確認。
4. 乗っ取りが起きた前提で、初動は何時間以内に何をしますか？ ——インシデント初動対応の想定があるか。
5. 見積もりに、初期構築だけでなく月次運用・教育・見直しは含まれますか？ ——追加費用の温床を先に潰す。

---

放置した場合と整備した場合の違い

---

自己診断──今日確認すべき10項目

• 社員が業務で使うメッセージアプリを会社として把握している
• Signal・WhatsAppのリンク済みデバイスを定期確認する運用がある
• QRコード読み取り・グループ招待の取り扱いルールがある
• 「コード・PIN・復元キーを渡さない」教育が全社に届いている
• メッセージングセキュリティポリシーが文書化されている
• フィッシング訓練にQR・サポート詐称パターンが含まれている
• 社用端末にMDMを導入し利用状況を監視している
• 海外拠点・取引先との連絡手段を情シスが把握している
• Signal/WhatsApp Desktop端末にエンドポイント保護が有効
• 乗っ取り時のエスカレーションと初動時間が明確である

チェックが3個以下なら、早急な棚卸しと体制設計が必要だ。

---

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、社内だけで抱え込まず、外部の目で整理する段階に来ている。

• 「誰がどのアプリを何に使っているか」を会社として答えられない
• 情シスが兼任・ひとり体制で、月次の確認や訓練まで手が回らない
• 大企業の取引先で、なりすまし・踏み台にされるリスクを説明できない
• 乗っ取りやなりすましの兆候を、すでに一件でも見た
• 「暗号化してるから大丈夫」以上の説明が社内で誰もできない

GXOは、話題性ではなく「自社の業務・データ・権限・予算・運用責任にどう効くか」で判断することを重視する。まずは現状のセキュリティ体制そのものを棚卸し・再構築するところから入り、専任がいなくても運用を止めない月額のセキュリティ顧問で恒常運用を回し、万一の際はインシデント初動対応の相談につなぐ——という段階設計が現実的だ。単発の情報収集で終わらせず、診断・整理・実行支援へ接続してほしい。

---

よくある質問（FAQ）

Q. FBI・CISAの警告はいつ出たのですか？「2025年2月」ではないのですか？

2025年2月20日はGoogle（GTIG）の技術報告で、民間の脅威インテリジェンスだ。FBI・CISAの正式な共同注意喚起（PSA）は2026年3月20日（I-032026-PSA）に出て、2026年6月26日に更新（I-062626-PSA）された。国内解説には両者を混同したものが多いので注意してほしい。

Q. Signalは暗号化されているのに、なぜ乗っ取られるのですか？

暗号化は通信経路の盗聴を防ぐ仕組みで、アカウント保護とは別問題だからだ。攻撃者は自分の端末を「正規のリンク済みデバイス」として登録するため、暗号化済みメッセージが正当に配信される。鍵を複製されたと考えると分かりやすい。

Q. バックアップ復元キーを渡してしまいました。どうすれば？

直ちに新しい復元キーを生成し、過去のバックアップは侵害済みと考える。リンク済みデバイスを確認して不審な端末を解除し、アカウントの異常を点検する。被害の範囲が業務に及ぶなら、初動対応を専門家と進めるべきだ。

Q. 日本の中小企業も標的になりますか？

名指しの一次標的は各国政府・軍・ジャーナリスト等だが、手口が公開・汎用化しており、金銭目的の模倣や、大企業を狙うための踏み台として中小が選ばれるケースが現実に起きている。「うちは関係ない」が最も危ない。

Q. LINEやTeamsなら安全ですか？

LINEにもPCログインとQR認証があり、リスクはゼロではない（本人確認番号がある分、難易度は上がる）。Teams/Slackは管理者統制が効くため、外部連絡をここへ集約し、SignalやWhatsAppを例外承認制にするのが中小の現実解だ。ツールの安全性より、統制の設計が本質になる。

Q. まず何から始めるべきですか？

即日でできる「リンク済みデバイスの棚卸し」と「コード・PIN・復元キーを渡さない周知」から。次に1週間で利用実態調査、1か月でポリシー制定、継続で訓練——の4層で進める。順番を守れば、コストをかける前にリスクの大半を削れる。

---

まとめ──守るのは「暗号化」ではなく「統制」

FBI・CISAの警告が示す教訓は明確だ。エンドツーエンド暗号化は万能ではなく、アカウント管理と端末管理、そしてユーザー教育がなければ簡単に横から回り込まれる。しかも手口は2026年6月に復元キーの詐取まで進化した。いま読み直す価値があるのはそのためだ。

企業が取るべき一手を層で整理する。即日＝リンク済みデバイスの棚卸しとコード非共有の周知。1週間＝QR/招待ルールと利用実態調査。1か月＝ポリシー制定。継続＝月次確認と訓練。この4層を「誰が・いつ・どう回すか」まで決めきれば、専任がいない会社でも守りは立つ。決めきれないなら、そこが外部と整理すべき境界線だ。

---

参考情報（一次・公式ソース）

• FBI IC3 公開注意喚起「Russian Intelligence Services Target Commercial Messaging Application Accounts」（Alert I-032026-PSA、2026-03-20発出）: https://www.ic3.gov/PSA/2026/PSA260320
• CISA リソースページ（同名、FBI/CISA共同）: https://www.cisa.gov/resources-tools/resources/russian-intelligence-services-target-commercial-messaging-application-accounts
• Google Threat Intelligence Group「Signals of Trouble: Multiple Russia-Aligned Threat Actors Actively Targeting Signal Messenger」（2025-02-20、技術的初報）: https://cloud.google.com/blog/topics/threat-intelligence/russia-targeting-signal-messenger/

制度・仕様・脆弱性・法務・セキュリティに関する判断は、公開時点の公式情報と一次情報を確認したうえで更新してください。

---

関連する脅威と参考記事

• ゼロトラスト・セキュリティ導入ガイド —— 「信頼しない」前提のセキュリティモデル
• EDR・エンドポイント保護の比較ガイド —— PC版メッセージングアプリを守るエンドポイント対策
• SASE/SSEによるリモートワークセキュリティ —— リモート環境での通信保護
• セキュリティインシデント報告の統一チェックリスト —— インシデント発生時の対応手順