FBIがiPhoneユーザーにiMessageからのテキスト送信をやめるよう警告、暗号化されたテキストが侵害される

米国当局はFBIとの共同警報として、メッセージングプラットフォーム「iMessage」を標的としたスパイウェア攻撃に対し、iPhoneユーザーへの警告を発しました。サイバーセキュリティ・インフラセキュリティ庁（CISA）は、iPhoneおよびAndroidユーザーに対し、「エンドツーエンドで暗号化された通信のみを使用する」よう勧告しました。

CISAとFBIは を発した 月曜日、ソーシャルメディアプラットフォームのWhatsAppとSignalで複数の大規模なハッキング活動が行われ、複数の米国人のプライベートメッセージや通話が盗まれたことを受けて警告

しかし、CISAの警告は、iPhoneユーザーのデフォルトのSMSクライアントであるAppleのメッセージングシステムiMessageに言及しています。iMessage自体はAppleデバイス間でエンドツーエンドの暗号化を備えていますが、Androidスマートフォンに送信されるテキストは標準のSMSとして送信され、完全に暗号化されていません。

AndroidへのiMessageのテキストは暗号化されておらず、データ盗難の危険がある

米国のiPhoneユーザーは、WhatsAppなどの暗号化メッセージアプリよりもiMessageを好むと言われています。2024年半ばに行われたレポートによると、米国のスマートフォン所有者の半数以上がiPhoneを所有しており、そのうち26%がiMessageを使用しています。MetaのCEO、マーク・ザッカーバーグ氏は、米国市場における最大の競合相手はiMessageだと考えています。

Android スマートフォンには、Google がエンドツーエンドの暗号化のためにテストした RCS プロトコルが搭載されているが、Apple は同様の保護をいつ実装するかについては確認していない。 

iMessageはiPhoneのフロントエンドプラットフォームであり、唯一のSMSクライアントです。司法省はAppleの「ウォールドガーデン」エコシステムに関する報告書の中で、iMessageを激しく非難しました。司法省によると、代替手段がないということは、メッセージングシステムが攻撃を受けた場合、すべてのiPhoneユーザーが危険にさらされることを意味します。

「これが私たちの基本的なアドバイスです」とCISAは述べました。SignalとWhatsAppを標的とした新たなスパイウェア攻撃が相次いでいるにもかかわらずです。「iPhoneとAndroidの間でテキストメッセージは使用しないでください。完全に暗号化されていないからです。」

昨年、FBIとCISAは、中国政府と関係のあるサイバー作戦「ソルト・タイフーン」が個人の会話やテキストに不正アクセスしたことを受けて、同様の通知を出した。 

ワシントンポスト紙の報道によると、上院情報委員会のマーク・ワーナー委員長は、今回の侵入を「米国史上最悪の通信ハッキング」と呼んだ。

「我々は世界が羨む通信業界です。このイノベーションを遅らせたくはありません。新たな高圧的な規制を導入したくもありません。これは安全とセキュリティだけに焦点を当てるべきです」と上院議員はWPに語った。

FBIと他のサイバーセキュリティ当局は、アメリカ人に対し、外国のハッカーから通信を守るために、標準的なテキストメッセージの使用を避け、SignalまたはWhatsAppに切り替えるよう要請した。 

「社内で既に伝えている私たちの提案は、ここで目新しいものではありません。テキストメッセージであれ、暗号化された音声通話を利用できる環境であれば、暗号化はあなたの味方です。たとえ敵対者がデータを傍受できたとしても、暗号化されていれば解読は不可能になります」と、CISAのサイバーセキュリティ担当エグゼクティブ・アシスタントディレクター、ジェフ・グリーン氏は述べています。

WhatsAppとAndroidデバイスも脆弱性にさらされている

Appleのトラブルとは別に、 Cryptopolitan 、月曜日にCISAが発表した報告書に記載されていた、WhatsAppとAndroidに影響を与える複数の脆弱性についても取り上げている。11月初旬、ウィーン大学の研究者らは、 を明らかにし 、わずか30分で3000万件の米国電話番号を収集できたと報告した。 

研究の過程で、研究者たちは世界中の35億人のユーザーにアクセスしました。これらのユーザーの約57%がプロフィール写真を公開しており、研究者は29%のアカウントのプロフィールテキストを閲覧できました。

同機関が調査結果を発表してからわずか数日後、サイバーセキュリティ企業Unit 42は、 報告した 。このキャンペーンは、Samsungの画像処理ライブラリlibimagecodec.quram.so（CVE-2025-21042）のゼロデイ脆弱性を利用して、WhatsApp経由で送信された画像を介してデバイスに侵入する。

Unit 42によると、このマルウェアは2024年半ばから活動を開始しており、攻撃者はユーザーの介入なしにデバイス全体を監視することができます。Androidマルウェアは、iOS画像サンプルのデジタルネガ（DNG）ファイルにも隠されていることが発見されました。 

Unit42の調査結果で引用された複数のユーザーは、「IMG-20240723-WA0000.jpg」などWhatsAppアップロードとしてタグ付けされたファイル名が、2024年7月から2025年初頭の間にモロッコ、イラン、イラク、トルコなどの場所で tracれたのを見たと報告している。

別の脆弱性である CVE-2025-12725 (Google Chrome のグラフィック処理コンポーネント WebGPU における境界外書き込みエラー) も、LANDFALL と併せて悪用されました。