WhatsAppセキュリティチェックリスト

WhatsAppがiCloudやGoogle Driveに作成するデフォルトのバックアップは、エンドツーエンド暗号化されていません。つまり、裁判所がAppleやGoogleに、あなたのチャット履歴をまるごと提出させることができるということです。メッセージ自体は安全に送信されていても、バックアップがあるとチャット履歴全体が簡単にさらされてしまい、その保護が台無しになります。

バックアップをオフにしておけば、フィッシングや使い回しのパスワードを通じてハッカーにiCloudやGoogleアカウントに侵入された場合にも、身を守れます。

どうしてもバックアップが必要な場合は、WhatsAppのチャットを安全にバックアップするで安全な方法を確認してください。

デフォルトでは、一度でもメッセージをやりとりした相手なら誰でも、あなたが最後にWhatsAppを使った時刻を見ることができます。アクティビストにとって、これは誰かがあなたの活動パターンを簡単に把握できてしまう手段になります。

Strict Account Settingsを有効にすると、いくつもの保護機能が一度にオンになります。アクティビズムに関わるすべての人にとって、基本の設定としておすすめです。

消えるメッセージをデフォルトでオンにしておけば、万が一スマホが押収されたり侵入されたりしても、あなたと連絡相手の安全を守りやすくなります。誰のスマホが警察に押収されるかはわかりません。まったく合法なことを話しているつもりでも、政府はあなたの言葉をねじ曲げる方法を見つけてきます。

WhatsAppで選べる期間は24時間、7日間、90日間です。デフォルトには7日間がおすすめ。そのうえで、よりセンシティブな会話では手動で短い期間に設定しましょう。

政治的・戦略的な話題についてのやりとりは、極右勢力に監視されているかもしれないことを忘れずに。特に、大規模な連絡や動員に使うグループやチャンネルでは、誰が参加するかを完全にはコントロールできないので要注意です。

ソーシャルメディアで公開できないようなことは、WhatsAppでも言わないようにしましょう。

信頼できる仲間とセンシティブな行動を計画するなら、Signalを使いましょう。

アクティビストにとって、Meta AIは便利なアシスタントを装ったデータ収集機能です。組織活動や連絡先、居場所、計画について尋ねた内容はすべて保存され、プロファイリングに使われ、警察の手に渡る可能性もあります。

グループチャットで@MetaAIをタグ付けすると、前後のメッセージがMetaのシステムに取り込まれます。ちょっとした質問をするつもりだっただけでも、です。 Meta AIが会話に加わった時点で、そのやり取りの履歴はもうチャット参加者だけのものではなくなります。

特定のチャットやグループからMeta AIを締め出すには、それらのチャットでRestricted chatもオンにしましょう。

「リンク済みデバイス」とは？ WhatsAppでは、QRコードやペアリングコードでリンクすることで、ほかのデバイス（パソコン、タブレット、別のスマホなど）でも自分のアカウントを使えます。ほとんどの人はこの機能を一度も使いません。詳しく知りたい場合は、WhatsAppの公式解説を見てください。

攻撃者は、あなたをだまして自分たちのデバイスをあなたのアカウントにリンクさせられることに気づいています。ウェブサイトや知らない人が、WhatsAppにコードを入力させる「認証」の手順を案内してきたら、それは認証ではありません。それは、あなた自身が相手にチャットへの完全なアクセスを渡してしまうということです。 QRコードでも同じ手口が使われます。

だからこそ、ウェブサイトや誰かに頼まれて、ペアリングコードを入力したりWhatsAppのQRコードをスキャンしたりは絶対にしないこと。 WhatsAppのQRコードをスキャンするのは、自分自身でWhatsApp Webまたはデスクトップ版を開いた直後だけにしましょう。

自分のアカウントはいつでもチェックできます。リンク済みデバイスを定期的に確認するを参照してください。

WhatsAppのPINと、WhatsAppからSMSで届く6桁の認証コードは、あなたのアカウントの鍵です。これを手に入れた人は、誰でもアカウントを乗っ取れてしまいます。

**どんな理由があっても、これらのコードは誰にも教えないでください。**相手が「WhatsAppサポート」や「WhatsAppセキュリティ」を名乗っていても同じです。 WhatsAppがDMや電話、SMSでPINや認証コードを聞いてくることは絶対にありません。もし誰かに聞かれたら、それはフィッシングフィッシングパスワードや二要素認証のコードをだまし取る詐欺の手法。信頼している相手からの本物のメッセージのように見せかけるやり口が多い。Googleを装った偽のメールや、「Signalサポート」を名乗る偽のメッセージなど。詳しくはこちら：EFF Surveillance Self-Defenseです。

「WhatsAppサポート」を名乗り、この手口でアカウントを乗っ取ろうとする偽メッセージが増えています。メッセージが本物かどうかわからないときは、返信せず、リンクもタップせず、コードも入力しないでください。代わりに、アプリ内のヘルプからWhatsAppに問い合わせましょう。

Restricted chatは、チャットごとに設定するものです。オンにすると、そのチャットのメンバーは誰も次のことができなくなります：

• チャットをエクスポートする
• チャット内の写真や動画を自分のカメラロールに自動保存する
• チャット内でMeta AIの機能を使う
• WhatsApp Web、WhatsApp Desktop、タブレットなどのリンク済みデバイスでチャットを開く

これは、AIエージェントや非公式のWhatsAppアプリをチャットから締め出すための機能です。こうしたツールは、リンク済みデバイスとして誰かのWhatsAppアカウントに接続します。グループの誰か一人でもこうしたツールを接続していれば、そのツールはその人のアカウントにあるすべてのチャットを読めてしまいます。あなたのグループのチャットも含めてです。 Restricted chatをオンにすれば、そのチャットはこうしたツールから読めなくなります。攻撃者がチャットのメンバーをだまして、攻撃者のデバイスをその人のアカウントにリンクさせた場合にも役立ちます（WhatsAppのリンク済みデバイス一覧を定期的に確認するを参照）。

重要なチャットごとに、それぞれオンにする必要があります。すべてのチャットに自動で設定することはできず、変更できるのはメインのスマホからだけです。

WhatsAppで受け取った写真や動画は、思っている以上にいろいろな場所に残ってしまうことがあります。初期設定のままだと、WhatsAppがそれらをそのままカメラロールに保存し、さらにiCloudやGoogleフォトが自動でクラウドにバックアップしてしまう場合があります。

つまり、センシティブな画像（抗議行動の映像、オーガナイザーの写真など、コミュニティを危険にさらしうるもの）やそのメタデータ（撮影場所や撮影時刻など）が、GoogleやAppleのアカウントに残り、警察が召喚状（subpoena）で提出を求めることができる状態になってしまうということです。そうなると、後からすべてのコピーを削除するのはずっと難しくなります。

コミュニティの組織活動の多くは、WhatsAppの身元確認がされていないグループで行われています。そうしたグループでは、メンバー全員をどこまで信頼できるのかわかりません。こうしたグループには、右派の敵対者や警察が潜入してくることがあります。

偽名やファーストネームだけを使えば、Google検索であなたの本当の身元を突き止められるのを防げます。自分の顔以外の写真を使えば、画像検索や顔認識であなたのSNSアカウントを見つけられるのを防げます。どちらのステップも、ドクシングやネット上の嫌がらせから身を守るのに役立ちます。

グループの仲間にも、同じ対策をするよう声をかけましょう。セキュリティはチーム戦です。

WhatsAppでは、リアルタイムの位置情報を特定の人やグループと一定時間共有できます。簡単にオンにできる分、そのまま忘れてしまいがちです。特に何時間も前に共有を始めた場合はなおさら。

アクティビストにとって、ライブ位置情報の共有をオンにしたままにするのは、チャットにいる誰もが見られる「自分の行動マップ」を差し出しているのと同じです。

いちばん安全なのは、バックアップを完全にオフにしておくこと（WhatsAppのチャットバックアップを無効にするを参照）。バックアップをオンにするのは、本当に必要なときだけにしましょう。たとえば、機種変更をするときや、国境を越えるために一時的にWhatsAppを削除する必要があるときなどです。

バックアップが必要な場合は、WhatsAppに組み込まれているエンドツーエンド暗号化バックアップをオンにしてください。これをしないと、GoogleやAppleが警察にチャット履歴をまるごと引き渡すよう強制されるおそれがあります。

組織活動のグループを運営しているなら、個人の設定と同じくらい、グループ自体の設定も重要です。

グループチャットのプライバシーは、いちばんセキュリティの弱いメンバーと同じ強さにしかなりません。誰か一人が潜入者だったり、デバイスが乗っ取られていたりすれば、チャットの内容がすべて漏れてしまう可能性があります。グループ全体でルールを守れるよう、お互いにサポートし合いましょう。

WhatsAppにはコミュニティという比較的新しい機能があり、複数のサブグループをまとめる親グループを作ることができます。

オーガナイザーにとってのメリットは、コミュニティに「電話番号のプライバシー」機能があること。これにより、メンバー同士がお互いの電話番号を見られなくなります。

WhatsAppで大規模な組織活動のグループを運営しているなら、コミュニティへの移行を検討してみてください。他のメンバーや潜入者によってメンバーがドクシングされるリスクを減らせます。

スパイウェアは高度な攻撃の一種で、私たちのデバイスにある巧妙な脆弱性を悪用します。これに対抗するため、AppleとGoogleはスパイウェアへの防御を強化する高度なセキュリティモードを導入しています。

iPhoneではロックダウンモード、Androidでは高度な保護機能プログラムと呼ばれています。 （Androidスマホを持っていなくても、Googleアカウントだけで高度な保護機能プログラムを有効にすることもできます。）

Appleのロックダウンモードをオンにしていたのにスパイウェアに感染した、という報告はまったくありません。 Androidの高度な保護機能は比較的新しく、その効果はまだ実証されていません。

OSのアップデートが出るたびに、セキュリティホールが修正されています。インストールしていないアップデートが増えるほど、警察があなたのデバイスをハッキングできる手段も増えていきます。鍵のかかっていないドアがどんどん増えていく、大きな建物を想像してみてください。

OSが最新の状態でなければ、このガイドで紹介している他の対策の多くも、あなたのデータを守れません。

まずはスマホから始めましょう。リスクの高い活動をする場合は、すべてのデバイスをアップデートしておきましょう。

注意点：顔認証や指紋認証があれば、毎回入力しなくても済むので、より強力なパスワードを使えます。どちらかを選ばなければならないなら、顔認証・指紋認証をオフにするよりも、長いパスコードにするほうが大切です。生体認証をオンのままにするなら、リスクの高い状況に向かうときにすぐオフにする方法を知っておきましょう（下のコツを参照）。

パスコードの解読にはどのくらい時間がかかる？

注意：これらの時間はスマホにのみ当てはまります。パソコンはずっと短時間で解読されてしまうので、はるかに強力なパスワードが必要です。

出典： 上の表の推定値は、警察が使うフォレンジック用ハッキングツールで実際に観測された毎秒の試行回数を前提にしています。もっと強いセキュリティが必要なら、10桁のパスコードを使いましょう。考えうる最も強力な解読手段に対しても身を守れます。出典はパスコードに関するFAQのリンクを参照してください。

Metaは最近、Facebookアプリにある機能を導入しました。写真ライブラリ内のすべての画像がMetaのサーバーに送られ、処理されるというものです。これは深刻なプライバシーの侵害で、アクティビストにとって法的なリスクにもなりえます。

Meta（WhatsAppも所有している親会社）は、WhatsAppにはこの種の機能は存在しないと主張しています。それでも、同じ会社がFacebookでまさにその機能を導入した以上、WhatsAppの写真への広範なアクセスはオフにしておく価値があります。

スマホが押収されると、メッセージ自体が消えた後でも、通知履歴からメッセージの内容や送信者の名前がわかってしまうことがあります。なぜこれが重要なのかは、Prairielandの事件を見てください。

Appleは、メッセージが無効化された後もSignalの受信通知が保存されてしまう問題を、iOS/iPadOS 26.4.2（および旧バージョン向けの18.7.8メンテナンスアップデート）で修正しました。この問題は修正されたものの、Androidスマホに同じ弱点が残っているかどうかははっきりしていません。どちらのプラットフォームでもプレビューは非表示にしておく価値があります。

Apple IntelligenceやAndroidの通知要約機能は、通知内容の一部をクラウドサーバーに送信することがあります。何がどこに送られているのかははっきりしておらず、政府の要請によってそのデータの提出が強制される可能性もあります。

このテーマについて、Signalに関連した記事があります。同じことがWhatsAppにも当てはまります：Apple IntelligenceはSignalのメッセージを読んでいる？

WhatsAppのマルチデバイス機能は、攻撃者がアカウントを乗っ取るための主な入り口になっています。攻撃者はあなたをだましてQRコードを読み取らせたり、ペアリングコードを入力させたりします。そうすると、攻撃者のコンピューターで、あなたが送受信するすべてのメッセージが見えるようになってしまいます。

このマルチデバイスの仕組みは、ジャーナリストやオーガナイザーを狙う傭兵型スパイウェアにも悪用されてきました。詳しくはスパイウェアのページを見てください。

特にセンシティブなチャットやグループでは、制限付きチャットをオンにすると、そのチャットがリンク済みデバイスに一切表示されなくなります。そのため、リンク済みデバイスが乗っ取られても内容を読まれることはありません。