WhatsAppのプライバシーリスク

はじめに：WhatsAppの真実

WhatsAppは世界で20億人以上が使用する最も人気のあるメッセージングアプリです。Signalプロトコルによるエンドツーエンド暗号化の実装を大々的に宣伝していますが、暗号化はセキュリティパズルの一部に過ぎません。WhatsAppの真のプライバシーリスクは、メッセージの内容ではなく、その周辺で収集されるすべてのデータにあります。

2014年にFacebook（現Meta）がWhatsAppを190億ドルで買収して以来、プライバシーポリシーは段階的に侵食されてきました。当初の「広告なし」「プライバシー第一」の約束は、Metaの広告主導ビジネスモデルと根本的に矛盾しています。

この記事では、WhatsAppが「暗号化」の裏で実際に何を行っているかを詳細に検証し、あなたのプライバシーを真に保護する代替手段を提案します。

メタデータ収集の問題

WhatsAppが収集するメタデータの量は驚くべきものです。メッセージの内容は暗号化されていても、誰に連絡したか、いつ連絡したか、どのくらいの頻度で連絡したか、通話の長さ、位置情報、デバイス情報、IPアドレス、アプリの使用パターンなど、すべてが記録されています。

NSAの元ディレクター、マイケル・ヘイデンは「我々はメタデータに基づいて人を殺す」と述べたことがあります。メタデータは通信内容と同じくらい、あるいはそれ以上に明かすものがあります。あなたの社会的ネットワーク、日常のルーティン、人間関係のパターン、政治的傾向まで、メタデータから推測できます。

WhatsAppは連絡先リスト全体をサーバーにアップロードします。WhatsAppを使用していない人の電話番号さえもサーバーに保存されます。これにより、WhatsAppに登録していない人のソーシャルグラフまでもが構築されます。

クラウドバックアップの脆弱性

WhatsAppの最も深刻な脆弱性の一つは、クラウドバックアップです。デフォルトで有効になっているクラウドバックアップは、メッセージをiCloudまたはGoogle Driveに保存しますが、これらのバックアップはエンドツーエンド暗号化の範囲外です。

つまり、メッセージがWhatsApp内では暗号化されていても、バックアップを通じてGoogleやAppleのサーバーに平文（または簡単に復号可能な形式）で保存されます。法執行機関はGoogle やAppleに令状を提示してこれらのバックアップにアクセスできます。

2021年にWhatsAppはE2E暗号化バックアップオプションを導入しましたが、デフォルトでは無効のままです。ほとんどのユーザーはこの設定を変更しないため、何十億人ものユーザーのメッセージがクラウドに暗号化されずに保存されています。さらに、あなたがバックアップを暗号化しても、通信相手がバックアップを暗号化していなければ、あなたのメッセージは相手のバックアップを通じて露出します。

Metaとのデータ共有

2021年のプライバシーポリシー更新により、WhatsAppはMetaグループ全体（Facebook、Instagram、Messenger等）とデータを共有するようになりました。この共有には、アカウント情報、トランザクションデータ、サービス関連情報、デバイスと接続に関する情報が含まれます。

このデータ共有により、MetaはWhatsAppのデータをFacebookやInstagramでの広告ターゲティングに活用できます。あなたがWhatsAppである企業と通信した場合、その情報がFacebook上での関連広告表示に使用される可能性があります。

EU域内ではGDPR規制により一部のデータ共有が制限されていますが、世界の大部分の地域ではこの制限がありません。WhatsAppのデータがMetaの巨大な広告エコシステムに統合されているという事実は、根本的なプライバシーリスクです。

クローズドソースの問題

WhatsAppのソースコードは非公開です。Signalプロトコルを実装していると主張していますが、独立したセキュリティ研究者がコードを完全に検証する方法がありません。暗号化が正しく実装されているか、バックドアが存在しないか、追加のデータ収集メカニズムが組み込まれていないかを確認する術がないのです。

一方で、Signalのコードは完全にオープンソースであり、誰でもセキュリティを検証できます。ShadowVaultも透明性を重視し、セキュリティ監査を公開しています。コードが公開されていないサービスのプライバシーの主張は、信頼に基づくしかありません。そしてMetaの過去の行動を考えると、その信頼は正当化しにくいものです。

電話番号要件のリスク

WhatsAppは登録に電話番号を要求します。これは匿名性の完全な否定です。電話番号はあなたの実際の身元と直接結びついており、政府機関やハッカーがあなたを特定するための直接的な手段となります。

電話番号に基づくシステムはSIMスワップ攻撃にも脆弱です。攻撃者があなたの電話番号を自分のSIMカードに移行させることができれば、あなたのWhatsAppアカウントを乗っ取ることが可能です。これは世界中で増加している攻撃ベクトルです。

政府アクセスと法的要請

WhatsAppは法執行機関の要請に応じて広範なデータを提供しています。メッセージの内容はE2E暗号化により提供できませんが、メタデータ、アカウント情報、IPアドレスログ、その他の情報は要請に応じて提供されます。

さらに、一部の国ではWhatsAppが当局と協力してユーザーの監視を支援しているという報告があります。暗号化されたメッセージの内容にアクセスできなくても、メタデータだけで十分な監視が可能です。

安全な代替手段

WhatsAppの代わりとなる安全なメッセンジャーは存在します。ShadowVaultは電話番号やメールアドレスなしで登録でき、ゼロ知識アーキテクチャにより、サービスプロバイダーでさえユーザーデータにアクセスできません。メタデータの収集もゼロです。

Signalも優れた選択肢ですが、電話番号が必要です。Sessionは電話番号不要で分散型ですが、機能が限定的です。包括的なプライバシーとユーザビリティのバランスでは、ShadowVaultが最良の選択です。

WhatsAppからの移行方法

WhatsAppからの移行は想像以上に簡単です。まずShadowVaultにアカウントを作成し（電話番号不要）、頻繁に連絡を取る人にShadowVaultへの参加を促しましょう。すべての連絡先が一度に移行する必要はありません。重要な通信からShadowVaultに移行し、段階的に切り替えていくことができます。

移行前に、WhatsAppのクラウドバックアップを無効にし、アカウントを削除する前に既存のバックアップも削除してください。WhatsAppのアカウント削除機能を使用してデータの消去を要求しましょう。ただし、Metaがすべてのデータを実際に削除するかどうかは検証できないため、最初から機密データをWhatsAppで共有しないことが最善です。