WhatsAppのバグにより、悪意のあるメディアファイルがグループチャットを通じて拡散 |Malwarebytes

WhatsAppは苦境に立たされている。Metaがかつて広く信頼されていたこのメッセージングプラットフォームを買収して以来、ずっとそうだと主張するユーザーもいる。ユーザーの感情は「信頼できるデフォルトのメッセンジャー」から、やむを得ず使うMeta製品へと変化した。

Privacyユーザーは、設定を厳重に管理すればWhatsAppを依然として比較的安全な大衆向けメッセージングプラットフォームの一つと見なしている。それでもなお、Metaの広範なエコシステムに対して不安を抱くユーザーが多く、連絡先全員がより安全なプラットフォームに移行することを望んでいる。

時事問題に戻ると、その感情をさらに強めるだけだろう。

GoogleのProject Zeroは、WhatsAppの脆弱性を新たに公表した。この脆弱性では、新規作成されたグループチャットに送信された悪意のあるメディアファイルが自動的にダウンロードされ、攻撃の媒介として悪用される可能性がある。

このバグはAndroid に影響しAndroid グループチャットにおけるゼロクリックメディアダウンロードを伴います。グループに追加され、悪意のあるファイルが送信されるだけで攻撃を受ける可能性があります。

Project Zeroによれば、この攻撃は標的型キャンペーンで利用される可能性が最も高い。攻撃者は少なくとも1つの連絡先を知っているか推測する必要があるためだ。標的を絞った攻撃ではあるが、攻撃者が有望な標的リストを入手すれば、比較的容易に繰り返し実行できる。

さらに追い打ちをかけるように、WhatsAppの競合他社にとって、この人気メッセージングプラットフォームにとってさらに深刻な懸念材料となり得る事態が発生した。国際的な原告グループがMeta Platformsを提訴し、WhatsAppのエンドツーエンド暗号化を主張しているにもかかわらず、WhatsAppの所有者がユーザーのほぼすべてのプライベート通信を保存、分析、アクセスできると主張している。

WhatsAppを安全に利用する方法

報道によれば、Metaは2025年11月11日にサーバー変更を実施したが、Googleはこれが問題を部分的にしか解決しなかったとしている。そのためMetaは包括的な修正に取り組んでいる。

Googleのアドバイスは、メディアが自動的にスマートフォンにダウンロードされないように、自動ダウンロードを無効にするか、WhatsAppのAdvanced Privacy 有効にすることです。

WhatsAppを最新のパッチで利用するには、常に更新しておく必要があります。これは他のアプリやAndroid にも当てはまります。

メディアの自動ダウンロードをオフにする

目標：明示的な決定なしに、写真、動画、音声、文書がデバイスに取得されないことを保証する。

Android でWhatsAppを開いてください。
右上の三点メニューをタップし、次に「設定」をタップします。
ストレージとデータ（データとストレージの使用状況と表示される場合もあります）に移動します。
メディアの自動ダウンロードでは、モバイルデータ通信時、Wi-Fi接続時、およびローミング時に表示されます。
これらの3つのエントリそれぞれをタップし、すべてのメディアタイプ（写真、オーディオ、ビデオ、ドキュメント）のチェックを外します。その後、「OK」をタップします。
各カテゴリの下に「メディアなし」のような表示がされていることを確認してください。

これにより、Project Zeroの「自動ダウンロードを無効化」というガイダンスが直接実装され、悪意のあるメディアが、あなたが敵対グループに放り込まれた瞬間にストレージに密かに侵入するのを防ぎます。

WhatsAppがメディアをAndroid のAndroid に保存するのを止める

たとえWhatsAppが一部のコンテンツをダウンロードし続けても、他のアプリやシステムコンポーネントがアクセスできる共有ストレージに漏れるのを防ぐことができます。

設定で、チャットに移動します。
メディアの表示設定（または「ギャラリーでメディアを表示」などの類似オプション）をオフにします。特に機密性の高いチャットについては、チャットを開き、連絡先またはグループ名をタップし、「メディアの表示設定」を見つけて、そのスレッドに対して「オフ」に設定します。

WhatsAppはサンドボックスであり、脅威を封じ込めるべきです。つまり、メディアをWhatsApp内に留めておくことで、悪意のあるファイルが他の（おそらくより脆弱な）コンポーネントによって処理されるのを困難にします。