アクロニス、「WhatsApp」へのユーザー名導入にともなうセキュリティリスクについて公式ブログで解説
アクロニス・ジャパンは7月21日に、「WhatsAppのユーザー名導入で何が変わる？利便性の向上とセキュリティリスクをアクロニスTRUが解説」と題した記事を、公式ブログにて発表した。同記事では、アクロニス脅威リサーチユニット（Acronis Threat Research Unit：TRU）の分析に基づいて、メッセージングアプリ「WhatsApp」で導入が進んでいる「ユーザー名」機能について、プライバシー保護のメリットと新たなセキュリティリスクを解説している。
企業や著名人を狙うなりすましリスク
「WhatsApp」では従来、電話番号がアカウントの識別子となっていたが、新たに「ユーザー名（Username）」によるアカウント利用を開始したことで、電話番号を相手に共有することなくユーザー名だけでメッセージのやり取りが可能になる。
電話番号は、銀行口座や各種オンラインサービス、本人確認といった個人情報と結びついていることが多く、サイバー犯罪者によって電話番号が収集され、フィッシングメールやショートメッセージ、スパムメッセージ、SIMスワップ攻撃、他サービスとの情報照合といった攻撃や不正利用に悪用される危険性があった。
今回の「WhatsApp」における「ユーザー名」機能の導入にともない、電話番号を通じた攻撃や不正利用への入り口を減らせる。
一方で、TRUは今後、サイバー犯罪者が「ユーザー名」を悪用した攻撃へと移行する可能性を指摘する。具体的には、本物とよく似たユーザー名、1文字だけ異なるスペル、Unicode文字など判別しにくい文字、本人そっくりのプロフィール画像などを利用した、「なりすまし」アカウントが増えることが考えられる。
近年、生成AIが普及したことで、サイバー犯罪者にとっては巧妙ななりすましが容易になっており、相手の状況に合わせた説得力のあるメッセージを、短時間で大量に生成できるようになった。あわせて、AIで作成したプロフィール画像、本人らしい話し方の再現、過去のSNS投稿を参考にした文章の作成などを組み合わせることによって、なりすましの精度が高まっている。
さらに、「WhatsApp」では「Instagram」と同じユーザー名を利用可能な仕組みの導入も予定されており、利便性が向上する一方で、異なるサービスにおける自身のアカウントが結び付けられやすくなる。そのためTRUは、プライベートと仕事、趣味といったオンライン上の活動を分けて管理したい場合は、サービスごとに異なるユーザー名の利用も検討すべきと述べている。
なお、匿名性を悪用した詐欺や違法な活動が問題視されることの多い「Telegram」では「ユーザー名」を採用しているが、TRUは「WhatsApp」が「Telegram」と同じく「ユーザー名」を採用したからといって、「Telegram」と同じ状況になるわけではない、とも指摘する。
これらを踏まえて、TRUは「WhatsApp」ユーザーに対して、「WhatsApp」に導入される「ユーザー名」を安全に利用するために、以下の4つの対策を求めている。
○ユーザー名だけで相手を信用しない
○お金や個人情報に関する依頼は別の方法で確認する
○「Instagram」との連携は必要性を踏まえて判断する
○二要素認証（2FA）を有効にする
