WhatsAppは安全？

WhatsApp自身のヘルプページとプライバシーポリシーをもとに整理すると、次のとおりです。

• 個人チャット、グループチャット、通話：標準でエンドツーエンド暗号化されます。WhatsAppでさえ読めません。
• iCloudやGoogle Driveへのチャットのバックアップ：自分でオンにした場合だけ、エンドツーエンド暗号化されます。
• Metaのホスティングを使う企業とのチャット：WhatsApp自身が言うとおり、エンドツーエンド暗号化されません。
• 電話番号：登録には必ず必要で、ほかの人があなたを見つけたり、あなたを確認したりする手がかりにもなります。

つまり、普段のやり取りなら、WhatsAppの暗号化はしっかりしています。すき間があるのは周辺部分で、見落としやすいところです。

はい。WhatsAppは、SignalやMorseと同じSignal Protocolを使っています。WhatsApp自身の言葉では、すべて自動で行われ、特別な設定をオンにする必要はありません。対象になるのは、メッセージ、写真、動画、ボイスメッセージ、通話で、1対1のチャットでもグループでも同じです。

ノートパソコンのWhatsAppのような、リンクしたデバイスでも機能します。各デバイスがそれぞれ接続し、チャットはエンドツーエンド暗号化されたままです。ただし、エンドツーエンド暗号化が守るのは、デバイスとデバイスの間の道のりだけです。下の図のとおり、メッセージがたどり着く可能性のある場所すべてに届くわけではありません。

鍵をかける仕組みそのものが気になる方は、エンドツーエンド暗号化の仕組みをどうぞ。

WhatsAppの音声通話とビデオ通話はエンドツーエンド暗号化されているので、WhatsAppも含めて、途中で誰かが盗み聞きすることはできません。

ただし、暗号化が守るのは、通話が送られている間だけです。通話の参加者なら、別のアプリや2台目の端末で録音することができ、それを防げるメッセージアプリはありません。チャットのスクリーンショットも同じです。暗号化は部外者からあなたを守るもので、話している相手から守るものではありません。

これが最大のすき間です。WhatsAppは、iPhoneならiCloud、AndroidならGoogle Driveにチャット履歴をバックアップできます。標準では、こうしたバックアップはWhatsAppのエンドツーエンド暗号化で守られていません。AppleやGoogleのアカウントに保存され、代わりにその会社のセキュリティで守られています。

つまり、エンドツーエンド暗号化されて届いたメッセージが、エンドツーエンド暗号化されていないバックアップに入ってしまうことがあるのです。誰かがあなたのAppleやGoogleのアカウントに入り込めば、チャット履歴に手が届いてしまうかもしれません。対策は、エンドツーエンド暗号化されたバックアップという設定で、1分ほどで済みます。

WhatsAppのヘルプページによると、手順は次のとおりです。

1. 1WhatsAppの設定を開き、チャットの項目からチャットのバックアップに進みます。
2. 2エンドツーエンド暗号化されたバックアップの項目をタップします。
3. 3パスキーを使うか、ほかの方法を選んで、パスワードか64桁の暗号化キーを使います。
4. 4作成を確定します。そのパスワードやキーは、チャットを復元するときに必要になるので、安全な場所に保管してください。

これで、チャットと同じように、バックアップにもあなただけが持つもので鍵がかかります。

企業とのチャットも、たいていは友だちとのチャットと同じように機能します。ただ、WhatsAppのチャットの管理にMetaのホスティングサービスを使っている企業もあり、WhatsAppは、そうしたチャットをエンドツーエンド暗号化とはみなしていないと説明しています。

見分けることはできます。そのチャットには、この企業がチャットの管理にMetaの安全なサービスを使っている、という内容のお知らせをWhatsAppが表示します。それが表示されたら、そのチャットはあなたと企業の二者だけのプライベートなものではないと考えてください。

通常のチャットは読めません。WhatsAppによると、Meta AIが読めるのは、Meta AIに送ったメッセージ、@MetaAIをメンションしたメッセージ、そしてあなたが共有を選んだメッセージだけです。それ以外の個人チャットは、エンドツーエンド暗号化されたままです。

メッセージの要約などの機能には、Private Processingという仕組みを使っているとWhatsAppは説明しています。あなたが共有した内容をMetaが読めないように作られた仕組みです。それでも、Meta AIそのものに入力した内容は、友だちとのエンドツーエンド暗号化されたチャットではなく、Metaとの会話だということは覚えておきましょう。

暗号そのものを破るのは非常に困難です。WhatsAppの「ハッキング」の多くは、暗号を破るのではなく迂回するもので、たいていは1通のメッセージから始まります。よくある手口は次のとおりです。

• 「昔の友だち」や「WhatsAppサポート」を名乗る人から、今届いたばかりの6桁のコードを転送してほしいと頼まれる。そのコードがあれば、誰かがあなたの番号を自分のスマートフォンで登録できてしまいます。
• 「お母さん、スマホをなくしちゃった。これが新しい番号だよ」というメッセージのあとに、急ぎでお金を送ってほしいという頼みが続く。
• WhatsAppからのように見せかけた、偽のログインページや偽の懸賞へのリンク。
• SIMスワップ。誰かが携帯電話会社を言いくるめて、あなたの番号を自分のSIMカードに移させる手口です。

どの場合も、暗号を破っている人はいません。代わりに、アカウントが乗っ取られたり、人がだまされたりしているのです。だからこそ、下で紹介する設定がとても重要です。2段階認証だけで、アカウント乗っ取りのほとんどを防げます。盗まれたコードだけでは足りなくなるからです。

Morseが電話番号なしで使えるようにした理由の一つもここにあります。盗まれるSMSのコードもなければ、SIMスワップを心配する必要もありません。

あります。ロックを解除したスマートフォンを、誰かが1分でも手にすれば可能です。WhatsAppではQRコードを読み取ってパソコンをリンクできるので、あなたのスマートフォンを手にした人が自分のノートパソコンをリンクし、それ以降ずっとやり取りを読めてしまいます。

対策は簡単です。WhatsAppの設定で、リンクしたデバイスの一覧をときどき開き、心当たりのないものはログアウトさせましょう。アプリロックと組み合わせれば、この抜け道はふさがります。

メッセージが途中で読まれることはありません。ただ、WhatsAppはメッセージの周辺の情報を集めています。プライバシーポリシーには、アプリでの利用状況に関する情報、IPアドレス、デバイスの識別子などが挙げられていて、IPアドレスと電話番号の市外局番から、都市や国といったおおまかな位置を推定しているとも書かれています。

また、WhatsAppは、通常のサービス提供の過程ではメッセージをサーバーに保存せず、メッセージはあなたの端末に保存されると説明しています。つまり、内容は守られている一方で、いつどのようにアプリを使っているかという情報は暗号化の対象外です。これがメタデータと呼ばれるものです。

はい。普通のテキストメッセージ（SMS）はエンドツーエンド暗号化されていません。携帯電話会社を通るときも、会社が読める形のままです。また、仕組み上、電話番号と結びついています。

WhatsAppのメッセージはエンドツーエンド暗号化されているので、読めるのはあなたと相手だけです。プライベートな用件でSMSとWhatsAppのどちらを使うか迷ったら、WhatsAppのほうがよい選択です。さらに電話番号もいらないアプリなら、もっとよいでしょう。

使えません。WhatsAppのアカウントを作るには電話番号が必要です。WhatsAppは2026年6月にユーザー名を発表し、段階的に導入を進めているので、番号を教えなくても人とチャットできるようになります。ただ、アカウント自体はやはり電話番号から始まり、すでにあなたの番号を保存している人には、引き続き番号が見えます。

メッセージのやり取りをそもそも電話番号に結びつけたくないなら、電話番号なしのメッセージングをご覧ください。

WhatsAppを使い続けるなら、次の設定に数分かける価値があります。

• 2段階認証をオンにしましょう。SMSのコードが盗まれても、それだけではアカウントを乗っ取られなくなります。
• 前述のとおり、エンドツーエンド暗号化されたバックアップをオンにしましょう。
• アプリロックとチャットロックを、スマートフォンの指紋認証や顔認証と一緒に使いましょう。スマートフォンを人に貸しても、チャットは開かれません。
• WhatsAppのプライバシーの点検機能を使って、プロフィール写真や最終オンライン時刻などを誰に見せるかを決めましょう。
• ジャーナリストなど、リスクの高い立場にいるなら、WhatsAppの厳格なアカウント設定も確認しましょう。

WhatsAppの標準の状態を、よく比べられるほかのアプリと並べると、次のとおりです。

WhatsAppは、大事なことを一つ正しく実現しています。標準のエンドツーエンド暗号化です。Morseも同じように、すべてのチャット、グループ、写真、ボイスメッセージ、1対1の通話を、同じSignal Protocolでエンドツーエンド暗号化し、その上に耐量子鍵交換（ML-KEM）を重ねています。

Morseが違うのは、その周りのすべてです。登録に電話番号もメールアドレスも必要ありません。短いMorse IDが発行され、それを誰に教えるかはあなたが決められます。Morseは使っている人たちの支払いで成り立っているので、広告はありません。そして、言いくるめられて教えてしまうようなSMSのコードもありません。

もっと詳しく比べたい方は、WhatsAppとMorseの比較で違いを並べてご覧いただけます。