- 米国の 商務省特別捜査官 が元Meta契約社員の主張を調査しており、彼らは WhatsAppメッセージへのアクセス可能性 を提起している
- 元契約社員らは、自分たちと一部のMeta社員が 「制限のないアクセス（unfettered access）」 権限を持っていたと証言した
- この主張は、WhatsAppは暗号化されており私的であるとするMetaの公式見解 と矛盾する
- 同じ内容は、2024年に 米国証券取引委員会（SEC） に提出された内部告発にも含まれている
- 今回の調査と内部告発は これまで公開されていなかった事案 であり、メッセンジャーの プライバシー信頼性 に重大な影響を与える
米国政府による調査の概要
- 米国の 法執行機関 が、Meta Platforms Inc.の元契約社員らが提起した WhatsAppメッセージへのアクセス可能性 の主張を調査中
- Bloomberg Newsが入手した 捜査報告書とインタビュー によれば、Meta社員がWhatsAppの会話にアクセスできるとの疑惑が提起されている
- 調査主体は 米商務省特別捜査官（Special Agents with the US Department of Commerce） と明記されている
- 調査内容は、Metaが主張する エンドツーエンド暗号化と個人的な会話の保護方針 の信頼性と直接関係している
元契約社員らの主張
- 元契約社員らは、自分たちと一部のMeta社員が WhatsAppメッセージに「制限なくアクセスできた（unfettered access）」 と証言している
- この証言は 法執行記録、事件に詳しい人物、そして 契約社員本人 の証言に基づく
- 契約社員のうち1人は 報復の可能性への懸念 から匿名を条件に発言した
内部告発と関連機関
- 同じ主張は、2024年に米国証券取引委員会（SEC） に提出された 内部告発（whistleblower complaint） にも含まれている
- 当該内部告発と商務省の調査は それまで公開されていなかった事実 であり、Bloombergが初めて報じた
Metaの公式見解との衝突
- Metaは、WhatsAppは私的であり暗号化されている と継続的に説明してきた
- しかし今回の調査と証言は、Metaの公式説明と相反する可能性 を提起している
事件の意味
- 今回の件は、メッセンジャーサービスの暗号化の信頼性 と ユーザープライバシー保護の水準 に疑問を投げかける
- 米国政府機関が直接調査に着手 した点で、グローバルなメッセンジャープラットフォームの セキュリティ透明性の問題 があらためて注目されるきっかけとなっている
1件のコメント
Hacker News の意見
WhatsApp の エンドツーエンド暗号化（E2EE） は独立して調査されていた
ただし、ソースコード全体をレビューしたのではなく、暗号化の中核部分のみを分析していた
主な問題は、WhatsApp サーバーがどのユーザーをチャットルームに含めるかを決定する点だった
Dan Goodin が Ars Technica の記事 でこの内容を扱っている
Facebook はモバイルのセキュリティ対策を回避して localhost 経由でデータ送信を行ったことがある
アプリはデータをさまざまな方向に送信し、プッシュ通知を通じてメッセージを読むこともできる
関連記事: Cybersecurity News
チャットごとに繰り返しロードされ、MitM ファイアウォールでも確認できる
なぜこうした監査がいつも暗号化部分だけを扱うのか疑問だ
クライアントが平文メッセージを別のサーバーや翻訳サービスへ送信するなら、転送時の暗号化は無意味だ
ただし、クライアントも同時に侵害されていれば表示を隠すこともできる
最近の Livemint の記事 によれば、WhatsApp は新規メンバーに過去メッセージを共有する機能を開発中で、セキュリティ低下の可能性がある
ポリシー変更のスピードは速く、誰も例外ではありえないと警告している
直接対面で確認しない限り、信頼しにくい
クローズドな E2EE クライアントは完全に安全にはなりえないと思う
バックドアの検出は現実的にはオープンソースでしかできず、再現可能ビルド（reproducible builds） が重要だ
サーバー側だけで悪用できる微妙なリモートコード実行脆弱性もバックドアになりうる
コンパイラの動作を完全に理解して隠されたバックドアをソースコードから見つけるのは不可能だ
オープンソースには利点が多いが、根拠のないセキュリティ優位を主張する必要はないと言う
元 WhatsApp エンジニアとして、チームが E2EE 実装に膨大な努力を注いでいたことは確かだと言う
暗号化されたメッセージを読むのは不可能だった
ビジネス面でも WhatsApp Business API が十分な収益をもたらしている
クライアントが相手の鍵を直接比較したり、パケット内容を検証したりできるのか気になる
Matthew Green は最近の Bluesky 投稿 で、
WhatsApp が平文へのアクセス権を持つという訴訟は 根拠の弱い釣り的な主張だと評価している
Meta や元 WhatsApp 関係者の発言、調査結果のどれも 内部告発者の主張と矛盾していない
本当に信頼するには、SEC の公式文書に 「Meta はいかなる形でも WhatsApp メッセージにアクセスしたことがなく、今後も不可能である」 という宣言が必要だと考える
いくつかの 仮説的シナリオを提示している
たとえば、自分があるページを訪れて友人にリンクを送り、その友人も同じページを訪れたなら、メッセージ内容を推測できる
FAANG 企業は思われているほど 技術的に盤石ではない
内部では「Decryption at Scale」のようなプロジェクトが 実績作り用の書類仕事で終わることも多い
実際のコンテンツを復号する必要はない
2016 年にすでに 2026 年レベルの技術を持っていたと主張するのと変わらない
関連参考: Utah Data Center
ユーザーではなくサーバーが鍵を保持している
こうした調査が実際にどう進められるのか気になる
単に質問するだけなのか、IT 専門家と一緒に アプリを技術的に分析するのか、
ユーザー端末で実行されるコードと同じ ソースコード検証を要求するのか知りたい
ただし完全には排除できない
あらゆる暗号化の核心は 鍵管理だと思う
鍵を自分で制御しなければ、結局は他の誰かが制御する
WhatsApp が端末間でメッセージを自動同期するのは 利便性とセキュリティのトレードオフだ
ほとんどのユーザーは相手の フィンガープリント（fingerprint） を直接検証しない
世界最大級の プライバシー侵害企業には、ユーザーのプライバシーを弱めるあらゆる動機がある
彼らのビジネスモデル自体が データ収集と行動操作に基づいている
したがって、証拠がなくても 信頼しないことが合理的な選択だ