L'FBI afferma che gli spioni russi ora ingannano gli utenti di Signal per consegnare la loro chiave di recupero di backup.

      TL;DRL'FBI avverte che gli hacker russi stanno phishingando gli utenti di Signal per ottenere le chiavi di recupero di backup, dando accesso persistente alla cronologia dei messaggi.

      L'FBI e la CISA hanno avvertito che gli hacker dell'intelligence russa stanno ora prendendo di mira le chiavi di recupero di backup degli utenti di Signal, un'escalation di una campagna di phishing che ha già compromesso migliaia di account in tutto il mondo. L'avviso aggiornato, pubblicato giovedì, afferma che consegnare la chiave una volta consente agli attaccanti di ripristinare il backup di un account, leggere l'intera cronologia dei messaggi privati e di gruppo e prendere il controllo dell'account.

      La chiave continua a funzionare anche dopo che la vittima cambia telefono. Se un obiettivo crea un nuovo account con lo stesso numero di telefono, la vecchia chiave di recupero può ancora essere utilizzata per accedere ai backup futuri, avverte l'avviso. L'unica soluzione è generare una nuova chiave nelle impostazioni di Signal, che invalida la vecchia per i download futuri ma non può recuperare nulla che l'attaccante ha già estratto.

      L'avviso, designato PSA I-062626-PSA, aggiunge due nomi di tracciamento pubblici che il comunicato di marzo dell'FBI non includeva: UNC5792 e UNC4221. L'agenzia collega l'attività a diversi gruppi dei Servizi di Intelligence russi, inclusi funzionari del FSB integrati con le Guardie di Frontiera del FSB e altri che lavorano per l'esercito russo. La campagna prende di mira sia Signal che WhatsApp, sebbene la tattica della chiave di recupero sia specifica per Signal.

      Il 💜 della tecnologia dell'UELe ultime novità dalla scena tecnologica dell'UE, una storia dal nostro saggio fondatore Boris e alcune opere d'arte AI discutibili. È gratuito, ogni settimana, nella tua casella di posta. Iscriviti ora!Gli obiettivi sono individui che l'FBI descrive come di "alto valore di intelligence", inclusi funzionari governativi attuali e passati degli Stati Uniti e internazionali, personale militare, figure politiche, giornalisti e funzionari in Ucraina. L'avviso di marzo affermava che la campagna più ampia aveva già compromesso migliaia di account in tutto il mondo.

      I messaggi di phishing si spacciano per supporto di Signal. Le onde precedenti chiedevano codici di verifica SMS e PIN dell'account, o utilizzavano link "invito di gruppo" falsificati che collegavano silenziosamente il dispositivo di un attaccante all'account della vittima. La versione aggiornata guida gli obiettivi attraverso l'attivazione dei backup di Signal, l'apertura dello schermo della chiave di recupero e l'incollaggio della chiave nella chat.

      L'FBI ha pubblicato due messaggi campione utilizzati nella campagna. Uno è mascherato da rollout obbligatorio dell'autenticazione a due fattori, e l'altro si spaccia per una "riparazione urgente" del "recupero dati" per messaggi presumibilmente a rischio di essere persi. Entrambi sono attacchi di ingegneria sociale che sfruttano la fiducia nell'interfaccia della piattaforma piuttosto che vulnerabilità tecniche.

      Le agenzie sono chiare che nessuna di queste tecniche rompe la crittografia di Signal o l'app stessa. Gli attaccanti compromettono singoli account attraverso l'ingegneria sociale, poi entrano attraverso una funzione legittima. È un modello che è diventato sempre più comune tra i prodotti di sicurezza, dove il punto più debole è la persona che tiene il dispositivo, non la crittografia che protegge i dati.

      Insieme all'avviso, il programma Rewards for Justice del Dipartimento di Stato offre fino a 10 milioni di dollari per informazioni su UNC5792. L'attività si sovrappone con avvertimenti precedenti delle agenzie di intelligence olandesi AIVD e MIVD, del BfV e BSI tedeschi e dell'ANSSI francese. Il Threat Intelligence Group di Google ha documentato per la prima volta UNC5792 che abusava della funzione di dispositivo collegato di Signal all'inizio del 2025 e ha successivamente osservato la stessa tecnica mirata a WhatsApp e Telegram.

      La campagna è un promemoria che la crittografia end-to-end protegge i messaggi in transito ma non può proteggere gli utenti che vengono persuasi a consegnare le chiavi stesse. Chiunque riceva un messaggio all'interno di Signal che chiede una chiave di recupero, un codice di verifica o un PIN dovrebbe trattarlo come ostile, indipendentemente da quanto convincente appaia il mittente. Signal non invia messaggi agli utenti all'interno dell'app per richiedere credenziali.