FBI、削除済みSignalメッセージをiPhone通知データベースから抽出
FBIは、削除されたSignalアプリの受信メッセージを、iPhoneのプッシュ通知データベースに保存されていた通知プレビューから法科学的に抽出することに成功したと、裁判での証言に基づき404 Mediaが報じた。
キーポイント
法科学捜査による予期せぬデータ抽出
FBIは、物理的にアクセス可能な端末に対して専門ソフトウェアを用いた法科学抽出により、削除済みのセキュアメッセージングアプリ「Signal」の受信メッセージを、端末の内部通知ストレージから復元した。
プッシュ通知設定がセキュリティに与える影響
iPhoneでは、ロック画面にメッセージ通知とプレビューを表示する設定が有効な場合、その通知内容が端末の内部メモリに保存されることが判明し、このケースはそのような機能をオフにする重要性を浮き彫りにした。
具体的な事件と証拠収集の詳細
テキサス州のICE収容施設での事件に関する裁判で、FBI特別捜査官が証言し、被告の一人であるLynette Sharpの電話から、Appleの内部通知ストレージを通じてSignalのメッセージが回収されたことが明らかになった。
セキュアメッセージングの限界とユーザー啓発
この事例は、端末への物理的アクセスと法科学ツールを用いた抽出が可能な場合、暗号化されたアプリのデータも予期せぬ場所から取得され得ることを示し、ユーザーがプライバシー設定を理解・管理する必要性を強調している。
影響分析・編集コメントを表示
影響分析
この記事は、高度な暗号化を謳うセキュアメッセージングアプリであっても、端末のOSレベルでのデータ管理（特に通知システム）に依存する脆弱性が存在することを明らかにした。これは、ユーザーのプライバシー設定に対する意識向上を促すと同時に、法執行機関の証拠収集手法の進化を示し、技術的セキュリティと法的要件の間の継続的な緊張関係を浮き彫りにしている。
編集コメント
「完全な暗号化」というユーザーの期待と、OS/ハードウェアレベルで生じうる現実的なデータ漏洩経路のギャップを鮮明に示す事例。技術者だけでなく一般ユーザーも知っておくべき、実用的なセキュリティ教訓を含んでいる。
image最近の裁判でFBIの証言に立ち会った複数の関係者が404 Mediaに語ったところによると、FBIは被告のiPhoneから受信したSignalメッセージのコピーをフォレンジック・エクストラクション（法科学的抽出）することができた。アプリが削除された後でも、コンテンツのコピーがデバイスのプッシュ通知データベースに保存されていたためである。この事件は、7月にテキサス州アルバラードにあるICEプレーリーランド収容施設で花火を打ち上げて財産を破壊したグループと、警察官の首を撃った1人の人物が関わっている。
このニュースは、デバイスに物理的にアクセスして専用ソフトウェアを実行できる場合のフォレンジック・エクストラクションが、安全なメッセージングアプリ由来の機密データを予期せぬ場所から取得できることを示している。Signalにはすでに、プッシュ通知にメッセージ内容を表示しない設定がある。この事件は、一部のユーザーがそのような機能を有効にすることがいかに重要であるかを浮き彫りにしている。
「特にiPhoneでは、Signalアプリの設定でメッセージ通知とプレビューをロック画面に表示することを許可している場合、iPhoneはそれらの通知やメッセージプレビューをデバイスの内部メモリに保存することを我々は知りました」と、裁判中にメモを取っていた被告側の支援者が404 Mediaに語った。404 Mediaは報復からその人物を守るため、匿名での発言を認めた。
プレーリーランドICE収容センター事件は、9月にトランプ大統領が「アンティファ」という包括的用語を国内テロ組織に指定した後、当局が「アンティファ」活動の疑いで人々を起訴した初めての事例となった。十数名の被告の支援者たちは、この事件は政治的弾圧であると主張している。
この事件について他に何かご存知ですか？お話を伺いたいです。仕事用以外のデバイスから、Signalでjoseph.404に安全にメッセージを送るか、joseph@404media.coにメールを送ってください。
被告の一人は、以前にテロリストへの物的支援を提供した罪で有罪を認めたリネット・シャープである。関連する裁判のある日、FBI特別捜査官クラーク・ウィーソーンが収集された証拠の一部について証言した。支援者グループのウェブサイトに公開された証拠品158の要約には、「メッセージは、Appleの内部通知ストレージを通じてシャープの電話から回復された。Signalは削除されていたが、受信通知は内部メモリに保存されていた。捕捉されたのは受信メッセージのみである（送信メッセージはなし）」とある。
404 Mediaは、裁判中にメモを取っていた支援者の一人と、被告エリザベス・ソトを代表する弁護士ハーモニー・シュアマンに話を聞いた。シュアマンは証拠品158について取ったメモを共有した。「彼らがこれらのチャットを捕捉できたのは、彼女が電話で通知を設定した方法のためです。通知がロック画面に表示されるたびに、Appleはそれをデバイスの内部メモリに保存するのです」と、そのメモには書かれている。
支援者は付け加えた。「私は州側の最終弁論日に法廷におり、FBI特別捜査官クラークがいくつかのSignalメッセージについて証言するのを聞きました。一連のメッセージはリネット・シャープの電話（協力証人の一人）からのものでしたが、法廷で示された詳細なメッセージで興味深かったのは、自動消去するように設定され、実際にSignalアプリ内では消えていたメッセージでした。」
通常、ユーザーがSignalメッセージを受信すると、その端末はメッセージ受信を告げるプッシュ通知を表示し、送信者とメッセージ内容の一部（または全部）を表示する。Signalアプリの設定内の「通知」メニューでは、ユーザーは表示する「通知内容」を変更できる。選択肢には、「名前、内容、アクション」、「名前のみ」、「名前も内容もなし」が含まれる。
通知が一部のメッセージデータを保存するという問題は、おそらくSignalアプリに限ったものではなく、安全なメッセージングアプリとAppleの通知保存方法との間にある、より根本的な摩擦である。
当局は、より広範な調査戦略としてもプッシュ通知に着目している。404 Mediaは6月、Appleが数千件のプッシュ通知に関するデータを各国政府に提供したと報じた。それらはAppleに対する法的要請に基づくものであったが、プレーリーランド事件は、当局が物理的に入手したデバイスからのデータに関するものであった。
Signalは3月12日にコメント要請を受領したことを確認したが、その後メールへの返信を停止した。Appleはコメント要請に応じなかった。
最近の裁判のすべての被告は、それぞれ複数の罪で有罪判決を受けた。
原文を表示
imageThe FBI was able to forensically extract copies of incoming Signal messages from a defendant’s iPhone, even after the app was deleted, because copies of the content were saved in the device’s push notification database, multiple people present for FBI testimony in a recent trial told 404 Media. The case involved a group of people setting off fireworks and vandalizing property at the ICE Prairieland Detention Facility in Alvarado, Texas in July, and one shooting a police officer in the neck.
The news shows how forensic extraction—when someone has physical access to a device and is able to run specialized software on it—can yield sensitive data derived from secure messaging apps in unexpected places. Signal already has a setting that blocks message content from displaying in push notifications; the case highlights why such a feature might be important for some users to turn on.
“We learned that specifically on iPhones, if one’s settings in the Signal app allow for message notifications and previews to show up on the lock screen, [then] the iPhone will internally store those notifications/message previews in the internal memory of the device,” a supporter of the defendants who was taking notes during the trial told 404 Media. 404 Media granted the person anonymity to protect them from retaliation.
The Prairieland ICE detention center case was the first time authorities charged people for alleged “Antifa” activities after President Trump designated the umbrella term a domestic terrorist organization in September. Supporters of the more than a dozen defendants say the case is political repression.
Do you know anything else about this case? I would love to hear from you. Using a non-work device, you can message me securely on Signal at joseph.404 or send me an email at joseph@404media.co.
One of the defendants was Lynette Sharp, who previously pleaded guilty to providing material support to terrorists. During one day of the related trial, FBI Special Agent Clark Wiethorn testified about some of the collected evidence. A summary of Exhibit 158 published on a group of supporters’ website says, “Messages were recovered from Sharp’s phone through Apple’s internal notification storage—Signal had been removed, but incoming notifications were preserved in internal memory. Only incoming messages were captured (no outgoing).”
404 Media spoke to one of the supporters who was taking notes during the trial, and to Harmony Schuerman, an attorney representing defendant Elizabeth Soto. Schuerman shared notes she took on Exhibit 158. “They were able to capture these chats bc [because] of the way she had notifications set up on her phone—anytime a notification pops up on the lock screen, Apple stores it in the internal memory of the device,” those notes read.
The supporter added, “I was in the courtroom on the last day of the state's case when they had FBI Special Agent Clark testifying about some Signal messages. One set came from Lynette Sharp's phone (one of the cooperating witnesses), but the interesting detailed messages shown in court were messages that had been set to disappear and had in fact disappeared in the Signal app.”
Typically when a user receives a Signal message, their phone will display a push notification announcing they have received a message, and display the sender and at least some of the message content. In the Notifications menu under Settings in the Signal app, users can change what Notification Content appears. This includes Name, Content, and Actions; Name Only; and No Name or Content.
The issue of notifications saving some message data is likely not limited to the Signal app, but is a more fundamental friction between secure messaging apps and how Apple stores notifications.
Authorities have turned to push notifications more broadly as an investigative strategy too; in June 404 Media reported Apple gave governments data on thousands of push notifications. Those were legal demands made to Apple, while the Prairieland case was about data from a device authorities had physical access to.
Signal acknowledged a request for comment on March 12, but stopped replying to emails after that. Apple did not respond to a request for comment.
All defendants of the recent trial were found guilty of multiple charges each.
関連記事
Apple、FBIが削除済みSignalメッセージを復元可能だったバグを修正
アップルは、404 Mediaの報道を受けて、アプリ削除後も通知データベースに残っていた受信メッセージをFBIが抽出できる脆弱性を修正した。
ICE、移民ステータス確認のために全米の警察に顔認証スキャンを許可する計画
米国移民税関捜査局（ICE）は、全国規模で警察が顔認証技術を使用して移民の身元を確認できる計画を発表した。これは公共記録請求に基づいた報道によるものである。
AI チャットボットの操作を意図した「ダークパターン」に関する新研究が明らかにする
セント研究所の研究者らが、大規模言語モデルを搭載した会話型 AI において、ユーザーを継続的に引き留めるために企業が行う操作を意図したデザイン選択（ダークパターン）の実態を調査し、その手法を明らかにしました。