Signalのバックアップキーを狙うロシアの標的型攻撃、FBIが関与グループを特定し約16億円の懸賞金を発表

米連邦捜査局（FBI）と国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年6月26日、ロシア政府系のハッカー集団が暗号化メッセージアプリ「Signal」のバックアップ復元キーを狙ったフィッシング攻撃を活発化させているとして共同警告を発した。この攻撃は、政府関係者や軍人、ジャーナリストなどの高価値な標的を狙っており、すでに世界中で数千のアカウントが被害に遭っているとされる。ユーザーは不審なアプリ内メッセージに警戒し、リンクされたデバイスの確認や復元キーの再生成を行うことが推奨されている。

■ロシア情報機関による新たな脅威と1,000万ドルの懸賞金

米連邦捜査局（FBI）と国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年6月26日、ロシアの情報機関に所属する2つのグループ「UNC5792」と「UNC4221」を初めて公に特定し、Signalユーザーを標的にしたフィッシングキャンペーンが激化していると警告した。彼らの新たな目的は、64文字の「バックアップ復元キー（Backup Recovery Key）」の窃取である。このキーを入手されると、過去のすべてのプライベートな会話やグループスレッドを含む、暗号化されたメッセージアーカイブ全体が解読されてしまう。

さらに、この盗まれたキーは、ユーザーがスマートフォンを機種変更したり、同じ電話番号で新しいSignalアカウントを作成したりした後でも機能し続けるため、持続的なアクセスを許してしまう点が極めて危険であるとされる。以前の攻撃はアクティブなアカウントの乗っ取り（今後の監視やなりすまし）が目的だったが、復元キーの窃取は過去数か月〜数年分のアーカイブに一挙にアクセスできる点で、脅威の次元が異なる。

この共同警告（I-062626-PSA）は、2026年3月20日に出された最初の警告を更新するものである。米国務省の「正義への報酬（Rewards for Justice）」プログラムは、UNC5792の工作員の特定につながる情報に対して最大1,000万ドル（約16億2,000万円、1ドル＝162円換算）の懸賞金を発表しており、米当局がこの脅威をいかに深刻に捉えているかを示している。

■2段階にわたる巧妙な攻撃の手口

攻撃は非常に計画的かつ単純な2段階のプロセスで行われる。第1段階では、Signalの自動サポートシステムを装った攻撃者が、アプリ内で緊急メッセージを送信する。イランや旧ソ連諸国のハッカーによる攻撃に対抗するため、義務的な2要素認証を導入すると主張し、ユーザーにメッセージバックアップの有効化を促す。この操作により、ユーザーのデバイス上でバックアップ復元キーが生成される。

第2段階は直後に実行される。再びサポートを装い、「同期の問題によりアカウントデータが永久に失われる恐れがある」と警告する。そして、設定から復元キーを表示してコピーし、チャットに直接貼り付けるよう指示する。データ保護に必要な手順であると誤認させる手口である。

FBIが公開したフィッシングメッセージの全文によると、実際のメニューパスや正確なアプリ言語が使用されており、正規の自動サポートと見分けがつかないほど精巧であるという。

■Signalの暗号化自体は破られていない

警告では、Signal自体の脆弱性によるものではないことが強調されている。Signalの強力なエンドツーエンド暗号化は破られておらず、攻撃者は暗号を解読しているのではなく、ソーシャルエンジニアリング（心理的な隙を突く手口）によってユーザーから正規の復元キーをだまし取っているに過ぎない。

Signalの安全性の高さに対する信頼そのものが、攻撃の隙となっている可能性がある。アプリが技術的に安全であると信じ込んでいるユーザーは、見知らぬメールよりもアプリ内のサポートメッセージを信用しやすい。ロシアの情報機関はこの心理を突き、暗号技術に挑むことなく、人為的なミスを突いて大量の機密通信を窃取しているとみられる。

2025年9月に導入されたSignalの「セキュアバックアップ」は、ゼロナレッジ（知識ゼロ）アーキテクチャを採用しており、64文字の復元キーはユーザーのデバイス上でのみ生成・保存され、Signalのサーバーには送信されない。そのため、キーが唯一の単一障害点（Single Point of Failure）となり、その窃取が最も致命的な被害をもたらす。

復元キーは特定のデバイスではなく、サーバー上のバックアップファイルに紐づいている。そのため、同じ番号でアカウントを再作成しても、古いキーは無効化されない。FBIは、攻撃者が将来的に新しいアカウントを乗っ取る可能性もあると直接指摘している。唯一の対策は、設定から新しいバックアップ復元キーを生成し、古いキーを無効化することである（ただし、すでにダウンロードされたデータは回収できない）。

■関与が指摘されるグループと標的

FBIは、このキャンペーンをロシア情報機関の2つのグループによるものと帰属（アトリビューション）している。「UNC5792」はロシア連邦保安庁（FSB）国境警備局に所属する職員、「UNC4221」はロシア軍の情報機関のために活動する別グループとされる。両グループは、Googleの脅威分析グループ（TAG）が2025年初頭に報告した、Signalの「リンクされたデバイス」機能を悪用して攻撃者のデバイスを密かに追加する攻撃にも関与していたとされる。

同様の手口はWhatsAppやTelegramでも確認されており、オランダ（AIVD/MIVD）、ドイツ（BfV/BSI）、フランス（ANSSI）などの同盟国の情報機関からも警告が出されている。標的となっているのは、米国および国際的な政府高官、軍関係者、政治家、ジャーナリスト、ウクライナの重要人物など、インテリジェンス価値の高い個人である。また、NATO加盟国の外交官、ロシア・ウクライナをカバーする調査ジャーナリスト、ウクライナ支援を行うNGO、安全保障やロシア情勢の研究者なども含まれる。

なお、本メディアでも2026年5月に、ジャーナリストや反中国共産党活動家、人権活動家を標的にした同様の攻撃について報じていたが、今回の警告により、その背後関係が正式に特定され、手口が復元キーの窃取へとエスカレートしていることが裏付けられた。

■Signal公式サポートが「絶対にしないこと」

ユーザーが被害を防ぐために、Signalの公式サポートが絶対にしない行為を理解しておくことが重要である。公式サポートは、アプリ内メッセージでユーザーと連絡を取ることはない（公式の会社メールアドレスのみを使用する）。アプリ内で認証コード、PIN、またはバックアップ復元キーを要求することは絶対にない。また、アカウントの確認や復元を求めるリンクを送信することもない。これらを要求するアプリ内メッセージは、どれほど公式らしく見えても、すべて詐欺（悪意あるもの）として扱う必要がある。

■今すぐ実行すべき対策

FBIとCISAは、すべてのSignalユーザー（特に政府、ジャーナリスト、軍関係、活動家コミュニティ）に対し、以下の対策を推奨している。

1. リンクされたデバイスの監査：設定からリンクされたデバイスの一覧を確認し、見覚えのないデバイスがあれば削除する。過去にデバイス追加の手口で侵入された場合、接続が維持されている可能性がある。

2. 新しいバックアップ復元キーの生成：設定の「バックアップ」から新しい復元キーを生成する。これにより、過去に盗まれた可能性のあるキーは無効化される。不審なメッセージを受け取った記憶がある場合は、直ちに実行すべきである。

3. PINを英数字のパスフレーズに変更：数字のみのPINよりも、英数字を組み合わせたパスフレーズの方が大幅に安全性が向上するとFBIは指摘している。

4. 不審なメッセージの通報：不審なメッセージを受け取った場合は、FBIのインターネット犯罪苦情センター（IC3）やCISAなどの関係機関に通報する。

■注目ポイントQ&A

●Signalのバックアップ復元キーとは何ですか？なぜロシアのハッカーに狙われているのですか？

2025年9月に導入された「セキュアバックアップ」機能で生成される64文字のキーです。暗号化されたメッセージ履歴を復元するために使用されます。ロシアの情報機関（UNC5792やUNC4221）がこのキーを狙うのは、キーを入手することで、過去の会話や写真、文書を含むすべてのアーカイブ履歴を一挙にダウンロードして解読できるようになるためです。

●自分のSignalアカウントが被害に遭っているか確認する方法はありますか？

設定メニューから「リンクされたデバイス」を確認し、見覚えのない端末が登録されていないかチェックしてください。また、過去にSignalサポートを名乗るアプリ内メッセージを受け取り、認証コードや復元キーを送信してしまった心当たりがある場合は、被害に遭っている可能性があります。その場合は、すぐに設定から新しいバックアップ復元キーを生成して古いキーを無効化してください。

●ロシアのハッカーは、暗号化が機能していてもメッセージを読めるのですか？

はい、復元キーを相手に渡してしまった場合や、攻撃者のデバイスがアカウントにリンクされている場合は、暗号化が機能していてもメッセージを読まれてしまいます。FBIとCISAの警告によれば、Signalの暗号化技術自体が破られたわけではありません。攻撃は技術的な脆弱性を突くものではなく、ユーザーをだまして鍵を差し出させる「ソーシャルエンジニアリング」の手口に基づいています。

●ジャーナリストや政府関係者は、今後もSignalを安全に使い続けられますか？

Signal自体の技術的な安全性は依然として非常に高いレベルにあります。今回の脅威は技術的な欠陥ではなく、ユーザーの行動（騙されてキーを渡してしまうこと）に起因するものです。安全に使い続けるためには、Signalサポートを名乗るアプリ内メッセージをすべて詐欺とみなすこと、定期的にリンクされたデバイスを確認すること、英数字のパスフレーズを使用すること、そして不審な点があれば復元キーを再生成することが推奨されます。

元記事: Russian Intelligence Campaign Targets Signal Backup Keys: FBI Names Groups, Posts $10M Bounty