WeWormとは？ 応答不要のWeChat通話で広がるゼロクリック型ワーム

WeWormは、米パロアルトのセキュリティ企業Califが、WeChatの音声通話機能に存在した問題の危険性を示すために作成した、AI支援の概念実証（PoC）ワームです。Califによると、細工したWeChatの着信通話だけで、相手が応答も操作もしないまま数秒以内にWeChatアカウントを侵害できました。同社は公開前にTencentへ問題を報告し、Tencentは緩和措置を展開しました。1014

「電話に出ない」だけでは防げない、ゼロクリック攻撃

問題は、WeChatで通話を処理するVoIP（Voice over IP）スタックにあったメモリ破損の脆弱性です。Califの説明では、着信音が鳴っている間に悪用コードが実行され得るため、一般的な攻撃で必要になりがちなリンクのクリック、添付ファイルの開封、通話への応答は必要ありませんでした。103

こうした手口は、利用者に実質的な操作をさせずに脆弱なソフトウェア側で処理が進むことから、ゼロクリック攻撃と呼ばれます。Califは再現・悪用を防ぐため、脆弱性とエクスプロイトの低レベルな技術詳細を公表していません。10

なぜ「ワーム」として広がり得たのか

単発のアカウント乗っ取りと異なり、ワームは侵害したアカウントを足場に次の標的へ自律的に広がれます。Califのデモでは、乗っ取られたWeChatアカウントが保存済み連絡先や友人リストの相手へ通話をかけ、同じ攻撃を繰り返せる仕組みでした。110

この伝播方法には、強さと制約の両方があります。

• 知人のアカウントからの着信に見えるため、通話先が不審に思いにくい可能性がある。
• 攻撃者が一人ずつ標的を選ばなくても、WeChat上の連絡先ネットワークをたどって広がり得る。
• 一方で、最初から任意のWeChat利用者を無差別に狙えるわけではなく、通話元アカウントと相手の間に連絡先・友人関係が必要だった。1

CalifはAndroidとiOSをまたぐ連鎖を実演し、クロスプラットフォームで伝播するというコンセプトを示しました。ただし、「数億件に達し得る」といった規模の表現は、WeChatの巨大なネットワーク上での潜在的な拡散を見積もったものです。実際にその規模の感染が発生したことを示す証拠ではありません。1013

攻撃者が得るのは「WeChatアカウント」の制御

Califは、結果としてWeChatアカウントを完全に制御できると説明しています。攻撃者はメッセージの閲覧・送信、通話、本人になりすました連絡、さらに別の連絡先への攻撃にアカウントを使える可能性があります。18

ただし、これはiPhoneやAndroid端末のOS全体が完全に侵害されることと同義ではありません。実証された影響はアカウントレベルの制御であり、端末全体の乗っ取りには別の脆弱性を連鎖させる必要があるとCalifは示しています。14

AIは何を変えたのか——特定ツール名は未公表

Califによると、チームはAIを活用して脆弱性を見つけ、最初のリモートコード実行（RCE）エクスプロイトを約2日で作成しました。その後、ワームのデモを組み上げるまでにはさらに約1週間を要したといいます。108

重要なのは、AIが単独で攻撃を開始したという話ではありません。この事例が示すのは、脆弱性調査、デバッグ、エクスプロイトの試行錯誤、環境への適応に要する時間や専門的な負担を、AIが小さくし得ることです。同じ能力は、防御側がソフトウェアを分析し、修正を速めるためにも使えます。

なお、Califの公開説明は「AIとともに作業した」とするにとどまり、利用した特定のAIモデルやコーディング製品を一貫して明らかにしていません。したがって、WeWormがClaude、GPT、Codexなど特定のツールで作られたと断定することは、公開情報からは裏付けられません。10

報告、修正、サーバー側の緩和はどう進んだか

Califは脆弱性を7月にTencentへ非公開で報告したとしています。同社の説明では、Tencentは8月21日にWeChat Android 8.0.77とiOS 8.0.76を公開。その後、Califはサーバー側の緩和策によって、全利用者に対してエクスプロイトがブロックされたと述べました。Tencentも、この脆弱性がリモートでのコマンド実行につながり得ることを確認しています。1014

ここで区別すべきなのは、研究デモと実際の攻撃キャンペーンです。公開報道でWeWormはPoCとして扱われており、Califが実利用者へ展開したことや、現実世界で大規模感染を引き起こしたことを示す公的な証拠はありません。9

WeWormが突きつけたセキュリティ上の論点

WeWormが注目されるのは、操作不要のゼロクリック悪用、信頼関係のある連絡先を使った自己拡散、iOSとAndroidをまたぐ到達可能性という、影響の大きい3要素を組み合わせたためです。今回の問題には緩和措置が講じられたとされていますが、通話処理のようにユーザー操作前から自動処理される通信機能は、非常に価値の高い攻撃対象になり得ます。

利用者にできる実践的な対策は、WeChatとスマートフォンのOSを最新の状態に保つことです。開発チームにとっては、メモリ安全性の検証、通話処理経路の堅牢化、迅速な脆弱性報告窓口、アカウント復旧とセッション管理の多層防御を優先することが、今回の教訓になります。1014