WhatsAppのユーザー名導入で何が変わる？利便性の向上とセキュリティリスクをアクロニスTRUが解説

デジタルコミュニケーションが日常生活やビジネス活動の基盤となる中、新機能の追加は利便性の向上だけでなく、新たな攻撃機会を生み出す可能性があります。WhatsAppが導入を進める「ユーザー名」機能もその一例です。電話番号を共有せずにユーザー同士がつながれることで、プライバシー保護の強化が期待される一方、サイバー犯罪者による悪用や新たなセキュリティリスクへの懸念も指摘されています。

本記事では、アクロニス脅威リサーチユニット（Acronis Threat Research Unit: TRU）の分析に基づき、WhatsAppのユーザー名機能がもたらすセキュリティ上のメリットと注意点を解説します。

世界で20億人以上が利用するメッセージングアプリ「WhatsApp」が、新たに「ユーザー名（Username）」によるアカウント利用を開始しました。これまでWhatsAppでは電話番号がアカウントの識別子となっていましたが、今後は電話番号を相手に共有しなくても、ユーザー名だけでメッセージのやり取りが可能になります。

 この変更は、利用者のプライバシー保護を強化する大きな一歩といえる一方で、サイバー犯罪者に新たな攻撃機会を与える可能性もあります。

TRUでは、「電話番号の露出を減らすことは重要な改善だが、攻撃者は今後、電話番号ではなく“デジタル上の身元”そのものを標的とする可能性がある」と分析しています。

これまでWhatsAppでは、新しい相手と会話を始める際に電話番号を共有する必要がありました。しかし電話番号は、銀行口座や各種オンラインサービス、本人確認など、多くの個人情報と結び付いています。

 サイバー犯罪者はこうした電話番号を収集し、次のような攻撃や不正利用に悪用してきました。

• フィッシングメールやショートメッセージ
• スパムメッセージ
• SIMスワップ攻撃
• 他サービスとの情報照合

 ユーザー名の導入によって電話番号を公開せずに利用できるようになれば、こうした攻撃の入り口を一つ減らすことができます。TRUもこの点についてはセキュリティ向上に寄与する前向きな改善と評価しています。

一方で、サイバー犯罪者は環境の変化に素早く適応します。電話番号が攻撃に利用しづらくなれば、今度はユーザー名を悪用した攻撃へと移行することが考えられます。

 例えば、

• 本物とよく似たユーザー名
• 一文字だけ異なるスペル
• Unicode文字など判別しにくい文字
• 本人そっくりのプロフィール画像

などを利用した「なりすまし」アカウントが増える可能性があります。企業のサポート窓口や自治体、金融機関、著名人になりすましたアカウントから連絡が届けば、多くの利用者は本物だと思い込んでしまうかもしれません。

近年では生成AIの普及により、サイバー犯罪者がより巧妙ななりすましを行うことも容易になっています。以前によく見られた不自然な文章や誤字脱字は減少し、相手の状況に合わせた説得力のあるメッセージを短時間で大量に生成できるようになりました。

 さらに、

• AIで作成したプロフィール画像
• 本人らしい話し方の再現
• 過去のSNS投稿を参考にした文章作成

などを組み合わせることで、なりすましの精度はさらに高まります。ユーザー名という新たな識別子は利便性を高める一方で、「本物らしく見せる」ための材料として悪用されるリスクもあります。

WhatsAppでは、Instagramと同じユーザー名を利用できる仕組みも予定されています。利便性が向上する一方で、異なるサービス上の自分のアカウントが結び付けられやすくなる点には注意が必要です。TRUでは、プライベートと仕事、趣味などオンライン上の活動を分けて管理したい場合は、サービスごとに異なるユーザー名を利用することも検討すべきだとしています。

ユーザー名を採用しているTelegramでは、匿名性を悪用した詐欺や違法な活動が問題視されることがあります。しかしTRUは、「ユーザー名を導入しただけでWhatsAppがTelegramと同じ状況になるわけではない」と分析しています。Telegramには公開チャンネルや大規模グループ機能に加え、モデレーションの考え方など独自の仕組みがあり、それらが現在の利用状況に影響しています。WhatsAppにおいては、今後も通報機能や不正アカウントの検知など、プラットフォーム側の対策が重要になります。

WhatsAppの新機能を安全に利用するためには、次の点を意識することが重要です。

① ユーザー名だけで相手を信用しない

本物に見えるユーザー名やプロフィールであっても、なりすましである可能性があります。

② お金や個人情報に関する依頼は別の方法で確認する

電話や公式サイトなど別の連絡手段を利用し、必ず本人確認を行いましょう。

③ Instagramとの連携は必要性を踏まえて判断する

複数サービスで同じユーザー名を使用すると、オンライン上の行動が結び付けられやすくなる可能性があります。

④ 二要素認証（2FA）を有効にする

万が一アカウント情報が漏えいした場合でも、不正ログインのリスクを大幅に低減できます。

WhatsAppのユーザー名機能は、利用者が電話番号を不用意に公開せずに済むという点で、プライバシー保護を大きく前進させる機能といえます。一方で、攻撃者は電話番号からユーザー名へと標的を変えるだけであり、詐欺やソーシャルエンジニアリングのリスクそのものがなくなるわけではありません。

 TRUは、「ユーザー名はプライバシー向上に有効な機能である一方、詐欺を防ぐ万能策ではない」と指摘しています。重要なのは、表示名やプロフィールだけで相手を信用せず、金銭や個人情報に関わるやり取りでは別の手段で必ず本人確認を行うことです。デジタル上の「身元」を守ることが、今後のメッセージングアプリを安全に利用するための新たな基本となるでしょう。