El FBI dice que los espías rusos ahora engañan a los usuarios de Signal para que entreguen su clave de recuperación de respaldo.

      TL;DREl FBI advierte que los hackers rusos están phishing a los usuarios de Signal para obtener claves de recuperación de respaldo, dando acceso persistente al historial de mensajes.

      El FBI y CISA han advertido que los hackers de inteligencia rusos ahora están apuntando a las claves de recuperación de respaldo de los usuarios de Signal, una escalada de una campaña de phishing que ya ha comprometido miles de cuentas en todo el mundo. El aviso actualizado, publicado el jueves, dice que entregar la clave una vez le da a los atacantes la capacidad de restaurar el respaldo de una cuenta, leer todo su historial de mensajes privados y grupales, y apoderarse de la cuenta.

      La clave sigue funcionando incluso después de que la víctima cambie de teléfono. Si un objetivo crea una nueva cuenta con el mismo número de teléfono, la antigua clave de recuperación aún puede ser utilizada para acceder a futuros respaldos, advierte el aviso. La única solución es generar una nueva clave en la configuración de Signal, lo que invalida la antigua para futuras descargas pero no puede recuperar nada que el atacante ya haya extraído.

      El aviso, designado PSA I-062626-PSA, añade dos nombres de seguimiento públicos que la notificación de marzo del FBI no incluía: UNC5792 y UNC4221. La oficina vincula la actividad a múltiples grupos de los Servicios de Inteligencia Rusos, incluidos oficiales del FSB incrustados con los Guardias de Frontera del FSB y otros que trabajan para el ejército ruso. La campaña apunta tanto a Signal como a WhatsApp, aunque la táctica de la clave de recuperación es específica de Signal.

      El 💜 de la tecnología de la UELas últimas novedades de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris, y un arte de IA cuestionable. Es gratis, cada semana, en tu bandeja de entrada. ¡Suscríbete ahora!Los objetivos son individuos que el FBI describe como de “alto valor de inteligencia”, incluidos funcionarios gubernamentales actuales y anteriores de EE. UU. e internacionales, personal militar, figuras políticas, periodistas y funcionarios en Ucrania. El aviso de marzo dijo que la campaña más amplia ya había comprometido miles de cuentas en todo el mundo.

      Los mensajes de phishing se hacen pasar por soporte de Signal. Las olas anteriores pedían códigos de verificación por SMS y PINs de cuenta, o utilizaban enlaces de “invitación a grupo” manipulados que silenciosamente vinculaban el dispositivo de un atacante a la cuenta de la víctima. La versión actualizada guía a los objetivos a activar los respaldos de Signal, abrir la pantalla de clave de recuperación y pegar la clave en el chat.

      El FBI publicó dos mensajes de muestra utilizados en la campaña. Uno está disfrazado como un despliegue obligatorio de autenticación de dos factores, y el otro se presenta como una solución urgente de “recuperación de datos” para mensajes supuestamente en riesgo de ser perdidos. Ambos son ataques de ingeniería social que explotan la confianza en la propia interfaz de la plataforma en lugar de vulnerabilidades técnicas.

      Las agencias son claras en que ninguna de estas técnicas rompe la encriptación de Signal o la aplicación misma. Los atacantes comprometen cuentas individuales a través de ingeniería social, luego entran a través de una función legítima. Es un patrón que se ha vuelto cada vez más común en productos de seguridad, donde el eslabón más débil es la persona que sostiene el dispositivo, no la criptografía que protege los datos.

      Junto con el aviso, el programa Recompensas por Justicia del Departamento de Estado está ofreciendo hasta $10 millones por información sobre UNC5792. La actividad se superpone con advertencias anteriores de las agencias de inteligencia holandesas AIVD y MIVD, de BfV y BSI de Alemania, y de ANSSI de Francia. El Grupo de Inteligencia de Amenazas de Google documentó por primera vez a UNC5792 abusando de la función de dispositivo vinculado de Signal a principios de 2025 y luego observó la misma técnica apuntando a WhatsApp y Telegram.

      La campaña es un recordatorio de que la encriptación de extremo a extremo protege los mensajes en tránsito pero no puede proteger a los usuarios que son persuadidos para entregar las claves ellos mismos. Cualquiera que reciba un mensaje dentro de Signal pidiendo una clave de recuperación, código de verificación o PIN debe tratarlo como hostil, independientemente de cuán convincente parezca el remitente. Signal no envía mensajes a los usuarios dentro de la aplicación para solicitar credenciales.