FBI、削除済みSignalメッセージをiPhone通知データベースから抽出
FBIが、削除済みのSignalアプリから受信メッセージのコピーをiPhoneの通知データベースから法科学的に抽出したと、裁判での証言で複数の関係者が明らかにした。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
image最近の裁判でFBIの証言に立ち会った複数の関係者が404 Mediaに語ったところによると、FBIは被告のiPhoneから受信したSignalメッセージのコピーをフォレンジック・エクストラクション（法科学的抽出）することができた。アプリが削除された後でも、コンテンツのコピーがデバイスのプッシュ通知データベースに保存されていたためである。この事件は、7月にテキサス州アルバラードにあるICEプレーリーランド収容施設で花火を打ち上げて財産を破壊したグループと、警察官の首を撃った1人の人物が関わっている。
このニュースは、デバイスに物理的にアクセスして専用ソフトウェアを実行できる場合のフォレンジック・エクストラクションが、安全なメッセージングアプリ由来の機密データを予期せぬ場所から取得できることを示している。Signalにはすでに、プッシュ通知にメッセージ内容を表示しない設定がある。この事件は、一部のユーザーがそのような機能を有効にすることがいかに重要であるかを浮き彫りにしている。
「特にiPhoneでは、Signalアプリの設定でメッセージ通知とプレビューをロック画面に表示することを許可している場合、iPhoneはそれらの通知やメッセージプレビューをデバイスの内部メモリに保存することを我々は知りました」と、裁判中にメモを取っていた被告側の支援者が404 Mediaに語った。404 Mediaは報復からその人物を守るため、匿名での発言を認めた。
プレーリーランドICE収容センター事件は、9月にトランプ大統領が「アンティファ」という包括的用語を国内テロ組織に指定した後、当局が「アンティファ」活動の疑いで人々を起訴した初めての事例となった。十数名の被告の支援者たちは、この事件は政治的弾圧であると主張している。
この事件について他に何かご存知ですか？お話を伺いたいです。仕事用以外のデバイスから、Signalでjoseph.404に安全にメッセージを送るか、joseph@404media.coにメールを送ってください。
被告の一人は、以前にテロリストへの物的支援を提供した罪で有罪を認めたリネット・シャープである。関連する裁判のある日、FBI特別捜査官クラーク・ウィーソーンが収集された証拠の一部について証言した。支援者グループのウェブサイトに公開された証拠品158の要約には、「メッセージは、Appleの内部通知ストレージを通じてシャープの電話から回復された。Signalは削除されていたが、受信通知は内部メモリに保存されていた。捕捉されたのは受信メッセージのみである（送信メッセージはなし）」とある。
404 Mediaは、裁判中にメモを取っていた支援者の一人と、被告エリザベス・ソトを代表する弁護士ハーモニー・シュアマンに話を聞いた。シュアマンは証拠品158について取ったメモを共有した。「彼らがこれらのチャットを捕捉できたのは、彼女が電話で通知を設定した方法のためです。通知がロック画面に表示されるたびに、Appleはそれをデバイスの内部メモリに保存するのです」と、そのメモには書かれている。
支援者は付け加えた。「私は州側の最終弁論日に法廷におり、FBI特別捜査官クラークがいくつかのSignalメッセージについて証言するのを聞きました。一連のメッセージはリネット・シャープの電話（協力証人の一人）からのものでしたが、法廷で示された詳細なメッセージで興味深かったのは、自動消去するように設定され、実際にSignalアプリ内では消えていたメッセージでした。」
通常、ユーザーがSignalメッセージを受信すると、その端末はメッセージ受信を告げるプッシュ通知を表示し、送信者とメッセージ内容の一部（または全部）を表示する。Signalアプリの設定内の「通知」メニューでは、ユーザーは表示する「通知内容」を変更できる。選択肢には、「名前、内容、アクション」、「名前のみ」、「名前も内容もなし」が含まれる。
通知が一部のメッセージデータを保存するという問題は、おそらくSignalアプリに限ったものではなく、安全なメッセージングアプリとAppleの通知保存方法との間にある、より根本的な摩擦である。
当局は、より広範な調査戦略としてもプッシュ通知に着目している。404 Mediaは6月、Appleが数千件のプッシュ通知に関するデータを各国政府に提供したと報じた。それらはAppleに対する法的要請に基づくものであったが、プレーリーランド事件は、当局が物理的に入手したデバイスからのデータに関するものであった。
Signalは3月12日にコメント要請を受領したことを確認したが、その後メールへの返信を停止した。Appleはコメント要請に応じなかった。
最近の裁判のすべての被告は、それぞれ複数の罪で有罪判決を受けた。
原文を表示
imageThe FBI was able to forensically extract copies of incoming Signal messages from a defendant’s iPhone, even after the app was deleted, because copies of the content were saved in the device’s push notification database, multiple people present for FBI testimony in a recent trial told 404 Media. The case involved a group of people setting off fireworks and vandalizing property at the ICE Prairieland Detention Facility in Alvarado, Texas in July, and one shooting a police officer in the neck.
The news shows how forensic extraction—when someone has physical access to a device and is able to run specialized software on it—can yield sensitive data derived from secure messaging apps in unexpected places. Signal already has a setting that blocks message content from displaying in push notifications; the case highlights why such a feature might be important for some users to turn on.
“We learned that specifically on iPhones, if one’s settings in the Signal app allow for message notifications and previews to show up on the lock screen, [then] the iPhone will internally store those notifications/message previews in the internal memory of the device,” a supporter of the defendants who was taking notes during the trial told 404 Media. 404 Media granted the person anonymity to protect them from retaliation.
The Prairieland ICE detention center case was the first time authorities charged people for alleged “Antifa” activities after President Trump designated the umbrella term a domestic terrorist organization in September. Supporters of the more than a dozen defendants say the case is political repression.
Do you know anything else about this case? I would love to hear from you. Using a non-work device, you can message me securely on Signal at joseph.404 or send me an email at joseph@404media.co.
One of the defendants was Lynette Sharp, who previously pleaded guilty to providing material support to terrorists. During one day of the related trial, FBI Special Agent Clark Wiethorn testified about some of the collected evidence. A summary of Exhibit 158 published on a group of supporters’ website says, “Messages were recovered from Sharp’s phone through Apple’s internal notification storage—Signal had been removed, but incoming notifications were preserved in internal memory. Only incoming messages were captured (no outgoing).”
404 Media spoke to one of the supporters who was taking notes during the trial, and to Harmony Schuerman, an attorney representing defendant Elizabeth Soto. Schuerman shared notes she took on Exhibit 158. “They were able to capture these chats bc [because] of the way she had notifications set up on her phone—anytime a notification pops up on the lock screen, Apple stores it in the internal memory of the device,” those notes read.
The supporter added, “I was in the courtroom on the last day of the state's case when they had FBI Special Agent Clark testifying about some Signal messages. One set came from Lynette Sharp's phone (one of the cooperating witnesses), but the interesting detailed messages shown in court were messages that had been set to disappear and had in fact disappeared in the Signal app.”
Typically when a user receives a Signal message, their phone will display a push notification announcing they have received a message, and display the sender and at least some of the message content. In the Notifications menu under Settings in the Signal app, users can change what Notification Content appears. This includes Name, Content, and Actions; Name Only; and No Name or Content.
The issue of notifications saving some message data is likely not limited to the Signal app, but is a more fundamental friction between secure messaging apps and how Apple stores notifications.
Authorities have turned to push notifications more broadly as an investigative strategy too; in June 404 Media reported Apple gave governments data on thousands of push notifications. Those were legal demands made to Apple, while the Prairieland case was about data from a device authorities had physical access to.
Signal acknowledged a request for comment on March 12, but stopped replying to emails after that. Apple did not respond to a request for comment.
All defendants of the recent trial were found guilty of multiple charges each.
関連記事
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み