Signalのバックアップキーを狙うロシアの攻撃、暗号学的対策案「STEBR」が公開
2026年7月28日 20:51
Signalのバックアップリカバリキーを狙ったロシア諜報機関によるフィッシング攻撃が確認されるなか、この構造的な問題に対処する新たな暗号学的提案「STEBR」が本日公開された。この提案は正式な修正パッチではなく、査読前のプレプリント段階にあるが、静的なバックアップキーが抱えるリスクと、その影響を抑える方法を示している。Signalユーザーは、バックアップリカバリキーの再生成や不審なリンク済みデバイスの削除といった対策を今すぐ講じる必要がある。
■ロシア諜報機関によるSignalバックアップキーの標的化
偽のサポートメッセージやフィッシングリンク、巧妙ななりすましを通じてSignalのバックアップリカバリキーを一度でも渡してしまうと、攻撃者はバックアップを有効にした初日までさかのぼって、メッセージアーカイブ全体を読み取れる。FBIおよびCISAのセキュリティアドバイザリ（I-062626-PSA）によると、この手口によってすでに世界中で数千のアカウントが侵害されており、ロシアの連邦保安庁（FSB）と軍参謀本部情報総局（GRU）に関連する攻撃グループは、正式な対策案が登場する数カ月前から大規模に攻撃を展開していた。本日、この単一の認証情報がなぜ壊滅的なほど強い権限を持つのか、そしてその状態を改めるには何が必要なのかに対処する、形式的な暗号学的提案が公開された。
インド理科大学院（IISc）バンガロール校の研究者Shaurya Pratap Singh氏は本日、IACR Cryptology ePrint Archiveにプレプリントを投稿し、Signalのバックアップキー管理システムを強化する3層構造のアーキテクチャ「STEBR（Secure Timed-Erasure Backup Ratchet）」を提案した。この提案は、FBIと米サイバーセキュリティ・社会基盤安全保障庁（CISA）が、Signalの暗号化を破るのではなくバックアップキーを盗み出す数カ月間のキャンペーンに関与した2つのロシア系攻撃グループを正式に名指ししてから、ちょうど1カ月後に発表された。
Signalの暗号プロトコル「Double Ratchet（ダブルラチェット）」は、WhatsApp、GoogleのRCSメッセージング、Facebook Messengerでも使われ、合計数十億人のユーザーのメッセージを保護している。メッセージを送受信するたびにセッションキーを更新し、古いキーを直ちに削除する仕組みだ。この「前方秘匿性（forward secrecy）」と呼ばれる特性により、攻撃者が今日スマートフォンを盗んだとしても、先月の会話を読み取ることはできない。そのメッセージキーがすでにどこにも存在しないためだ。また、このプロトコルには侵害後に安全性を回復する性質もある。新しいメッセージを受信すると、新たなDiffie-Hellman鍵交換によって攻撃者を再び締め出す。これは「侵害後セキュリティ（post-compromise security）」と呼ばれる特性である。
■Signalの暗号化は機能しているが、バックアップキーの仕組みは異なる
Signalの暗号化バックアップシステムは、メッセージ通信とはまったく異なる原理で機能している。ユーザーがバックアップを有効にすると、Signalはデバイス上で64文字のリカバリキーを生成するが、これをSignalのサーバーと共有することはない。このキーは、ユーザーが手動で更新しない限り変わらない。キーを順次更新するラチェット機能はなく、侵害後に安全性を回復する仕組みも、情報が露出する期間を限定する仕組みもない。STEBRのプレプリントはこの問題を形式的に示しており、現行のバックアップ設計は、最低限の前方秘匿性に相当するセキュリティ要件すら満たしていないとしている。つまり、いずれかの時点でキーが一度でも漏洩すれば、暗号学的に安全性を回復する手段がないまま、バックアップ履歴全体が危険にさらされる。
Signalは2025年9月にセキュアなクラウドバックアップを導入し、2026年2月には全ユーザーが利用できるようになった。それから数カ月のうちに、ロシアの諜報機関は、暗号化そのものを破ることなく、アーカイブされた会話へ大規模にアクセスする最も効率的な手段として、この静的なバックアップキーに目を付けた。
■ロシア諜報機関は最も弱い部分を突いた
6月26日に公開されたFBIとCISAのアドバイザリは、その手口を詳細に説明している。ウクライナ保安庁（SBU）とFBIの共同発表によると、ロシアFSBの国境警備部門に関連する「UNC5792」と、ロシアGRUに関連する「UNC4221」の工作員が、Signalの自動サポートアカウントになりすましてメッセージを送信した。標的となったのは、政府関係者、軍関係者、ジャーナリスト、政治家、ウクライナを拠点とする諜報上の関心対象者だった。標的には、アカウントの問題やセキュリティアップデートについて緊急性を装った警告が届き、設定画面を開いてバックアップを有効にし、リカバリキーを会話に貼り付けるよう指示された。多くの人がこれに従ってしまった。
キーを一度でも渡してしまうと、攻撃者はそのアカウントのバックアップアーカイブを復元し、保存されているすべての非公開の会話やグループスレッドを含む、メッセージ履歴全体を読み取れる。さらに、被害者が新しいスマートフォンを購入したり、同じ電話番号で新しいSignalアカウントを作成したりしても、キーは失効しない。盗まれたキーは、ユーザーが設定画面で明示的に新しいキーを生成するまで、将来作成されるバックアップに対しても引き続き機能する。
FBIのアドバイザリによると、6月26日の公開時点で、このキャンペーンによって世界中で数千のアカウントが侵害されていた。CyberInsiderが確認したところによると、米国務省は同時に、「Rewards for Justice（正義への報酬）」プログラムを通じ、UNC5792のメンバーの特定または所在確認につながる情報に対して最大1000万ドル（約16億4000万円、1ドル＝164円換算）の報奨金を発表した。オランダの情報機関（AIVDおよびMIVD）、ドイツの連邦憲法擁護庁（BfV）と連邦情報セキュリティ庁（BSI）、フランスの国家情報システムセキュリティ庁（ANSSI）は、FBIが2つのグループをまだ公に名指ししていなかった2026年3月以降、このキャンペーンの存在について警告していた。
■STEBRがもたらす3つの防御層
STEBRの提案は、Double Ratchet、Signalの耐量子鍵交換プロトコル「PQXDH」、メッセージエンベロープの通信形式のいずれも変更しない。既存の暗号プロトコルの上位にあるバックアップキー管理層だけに追加される仕組みである。
第1の層は、自己消去型のハッシュチェーンラチェットである。メッセージアーカイブ全体に単一の静的なバックアップキーを使用する代わりに、STEBRは毎日、毎週、または設定された任意のエポック間隔に従ってバックアップキーを更新し、不要になった古いエポックキーを暗号学的に破棄する。攻撃者がソーシャルエンジニアリングによって現在のエポックキーを入手したとしても、被害は限定される。攻撃者がアクセスできるのは現在のエポック期間中にバックアップされたメッセージだけであり、過去数年分の履歴にはアクセスできない。この安全性は、鍵導出関数が擬似ランダム関数（PRF）として安全であるという標準的な暗号学上の仮定に基づく。プレプリントは、単一のキーが侵害された場合の影響範囲が限定されることを形式的に証明している。
第2の層は、論文が「単一の認証情報、単一の接触」と呼ぶ問題に対処する。現状では、1回のフィッシングに成功するだけで、利用可能なキーを奪える。STEBRは、暗号学者Adi Shamirが1979年に考案した「シャミアの秘密分散法」を使い、現在のエポックキーを、互いに独立して管理される複数のデバイスや信頼できる連絡先に分散する。（t, n）構成、例えば5人の保管者のうち任意の3人を必要とする設定では、1人との接触だけで利用可能な情報を得ることはできない。バックアップデータを危険にさらすには、攻撃者は別々の保管者をt人侵害しなければならない。
ここでの安全性は情報理論的に保証される。計算能力に制限のない攻撃者であっても、t個未満のシェアからエポックキーについて何も知ることはできない。数千人のSignalユーザーに対して成功したなりすましの手口も、この構造に対しては通用しない。1つのシェアを盗んでも、何も盗んでいないのと実質的に同じだからだ。
第3の層は、時間によって区切られたキーの有効期限を追加する。エポックキーは、特定の有効期間に暗号学的にひも付けられる。その期間が終了すると、後からキーが漏洩しても、バックアップデータを復号できない。この層の形式的な安全性の根拠は、プレプリントで詳述されているように、バックアップの認証付き暗号化方式（AEAD）がIND-CPA安全性を満たすことに基づいている。IND-CPAは、対称鍵暗号の機密性に関する標準的な安全性の概念である。
■同様の構造を持つのはSignalだけではない
STEBR論文の最大の意味は、Signalだけにとどまらない。Double Ratchet、PQXDHをはじめ、Signalのトランスポート層における暗号技術の各構成要素は、長年にわたり形式的な分析の対象となってきた。オックスフォード大学とLORIA/Inriaの研究者がIEEE Security and Privacy 2026で発表した論文では、Double Ratchetに対する、それまで知られていなかった3つの前方秘匿性攻撃が発見された。2つは主要な実装、1つは仕様に関するもので、いずれもSignalの開発者に報告され、修正済みである。
一方、バックアップ層が形式的な分析を受ける機会は比較的少なかった。アーカイブされたメッセージを静的な認証情報で保護しているのはSignalだけではない。WhatsAppの任意で有効にするエンドツーエンド暗号化バックアップも、ユーザーが設定したパスワードまたは64桁の暗号化キーで保護されており、構造的には同様の設計である。
メッセージ通信にSignalと同等の暗号化を使用しているアプリであっても、バックアップが自動的に同等の安全性で保護されるわけではない。バックアップ層は、通信層とは異なる脅威モデルを持つ別個のシステムである。STEBRは、ラチェット型の前方秘匿性という考え方をバックアップ層に適用した初の形式的な提案である。
■STEBRが解決していない現実的な技術課題
プレプリントは、解決されていない問題についても率直に述べている。しきい値秘密分散を技術に詳しくないユーザー向けに導入することは、重大なユーザビリティ上の課題をもたらす。論文はこの点を認めているが、十分な解決策は示していない。（3, 5）の保管者方式では、ユーザーはそれぞれのデバイスに1つのシェアを保存する5人の信頼できる連絡先を選び、連携してもらう必要がある。この設定作業はセキュリティ専門家には容易でも、一般のユーザーにはかなり難しい可能性がある。バックアップを復元するときに保管者が応答できなければ、ユーザー自身のデバイスに問題がなくても復元に失敗する。
エポックをまたぐバックアップの復元も複雑さを増す。過去のエポックに属するメッセージへアクセスするには、その時点で有効だったエポックキーを保持しておく必要がある。STEBRのアーキテクチャでは、過去の複数のバックアップ期間にまたがる参照を可能にするため、キーとエポックを慎重に管理しなければならない。
STEBRはプレプリントであり、まだ査読を受けていない。Signalの開発チームも、この提案について公にコメントしていない。Signalはこれまで、学術研究による指摘に対応してきた。PQXDHは、「Harvest Now, Decrypt Later（今収集し、後で復号する）」という脅威モデルにおいて、X3DHの長期鍵が露出する問題をめぐる長年の学術的な指摘を経て導入された。また、Double Ratchetの修正は、2026年のIEEE Security and Privacyにおける分析の責任ある開示を受けて実施された。STEBR、あるいはその中心的な考え方を取り入れた仕組みが実環境に導入されるかどうかは、依然として不明である。
■Signalユーザーが今すぐできること
STEBRは提案であり、パッチではない。現在のSignalユーザー、特に攻撃を受けるリスクが高いユーザーにとって、FBIが示した緩和策が今すぐ利用できる最も直接的な対策となる。
Signalの設定（［設定］→［バックアップ］→［リカバリキーを表示］→［新しいキーを生成］）で新しいバックアップリカバリキーを生成すると、今後のバックアップダウンロードに対して古い認証情報が無効になる。キーを更新する前に攻撃者がすでに取得したバックアップには引き続きアクセスされるおそれがあるが、古いキーを使って新たにダウンロードすることはできなくなる。
リカバリキー、認証コード、PINを要求する、Signalサポートを名乗るアプリ内メッセージはすべて詐欺である。Signalの方針は明確で、同社がアプリ内でユーザーに連絡することはなく、同社のサーバーがリカバリキーのコピーを保持することもない。
自分で関連付けた覚えのないリンク済みデバイスを確認し、削除する（［設定］→［リンク済みデバイス］）ことで、別の侵入経路であるリンク済みデバイスの乗っ取りを制限できる。ロシアの諜報機関は、バックアップキーの窃取へ移行する前の作戦初期に、この手口も使用していた。
STEBRが暗号学的に形式化した技術上の知見は、フィッシングキャンペーンがすでに現実の攻撃で示したことと同じである。前方秘匿性の強さは、システム内で最も弱い認証情報によって制限される。長年、バックアップキーがその最も弱い認証情報だった。本日、その弱さを正確に示す形式的な証明と、より強固にするための具体的な提案が初めて公開された。
■注目ポイントQ&A
●Signalの暗号化は破られたのですか？
いいえ。FBIとCISAのアドバイザリは、UNC5792もUNC4221もSignalの暗号化を破っておらず、アプリケーション自体も侵害していないことを明確に確認しています。通信中のメッセージを保護するDouble RatchetとPQXDHハンドシェイクは、引き続き安全です。攻撃手段は全面的にソーシャルエンジニアリングに依存しています。工作員はユーザーをだましてバックアップ用の認証情報を引き渡させ、正規のバックアップ機能を使って、暗号化されたアーカイブにアクセスします。暗号技術そのものではなく、キーを持つ人が攻撃の標的になっています。
●今すぐSignalのバックアップを保護するにはどうすればよいですか？
Signalの設定（［設定］→［バックアップ］→［リカバリキーを表示］→［新しいキーを生成］）で、直ちに新しいバックアップリカバリキーを生成してください。新しいキーを生成すると、今後のバックアップ復元に古いキーを使えなくなるため、以前のキーを入手した攻撃者による新たなアクセスを遮断できます。ただし、キーを更新する前に攻撃者がすでにダウンロードしたバックアップを取り戻したり、無効化したりすることはできません。この手順は、それ以降の被害拡大を防ぐためのものです。
［設定］→［リンク済みデバイス］を開き、認識していないデバイスも削除してください。Signalサポートを名乗るアカウントから届くアプリ内メッセージは、すべて攻撃とみなす必要があります。Signalがアプリ内でユーザーに連絡することはありません。
●この問題はWhatsAppや、Signalの暗号化技術を使用する他のアプリにも影響しますか？
WhatsApp、Google RCS、Facebook Messengerで通信中のメッセージを保護するDouble Ratchet暗号化は、この問題の影響を受けません。ただし、STEBRが対象とする構造的な問題、すなわち前方秘匿性を備えた通信のアーカイブを静的なバックアップ認証情報で保護するという問題は、ユーザーが管理するキーまたはパスワードで保護された任意のクラウドバックアップを提供する、あらゆるエンドツーエンド暗号化プラットフォームに当てはまります。WhatsAppの任意で有効にするエンドツーエンド暗号化バックアップも同様の設計を採用しています。
「このアプリはSignalの暗号化技術を使用している」という説明は、トランスポート層について述べているにすぎず、バックアップ層にも同等の保護があることを意味しません。STEBRの論文は、この違いを初めて形式化して解決策を提案したものですが、具体的な提案対象はSignalのバックアップシステムです。
●STEBRとは何ですか？ Signalはいつ実装しますか？
STEBR（Secure Timed-Erasure Backup Ratchet）は、IIScバンガロール校のShaurya Pratap Singh氏が本日、IACR Cryptology ePrint Archiveでプレプリントとして公開した形式的な学術提案です。まだ査読を受けておらず、Signalの開発者もこの提案についてコメントしていません。
Signalはこれまで学術研究に基づく提案を採用してきました。PQXDHの導入と2026年のDouble Ratchetの修正も、学術研究に端を発しています。ただし、この段階にある提案が導入されるまでには通常、数カ月から数年かかります。SignalがSTEBRの設計を採用する保証はありません。現時点で利用できる最善の対策は、バックアップリカバリキーを更新し、アプリ内で届くサポートを名乗るメッセージをすべて詐欺として扱うことです。
元記事: Signal Backup Recovery Key Flaw Exploited by Russian Spies Gets Formal Cryptographic Fix Today