Signal реагирует на текущие фишинговые атаки на политиков, в том числе в Германии, и намерен затруднить подобные атаки с помощью новых функций. Эти нововведения будут внедрены в "ближайшие недели", чтобы "предотвратить такие атаки", сообщает Signal, в частности, в Mastodon (открывается в новом окне) и Bluesky (открывается в новом окне).
В заявлении Signal вновь подчеркивается, что Signal не был "взломан". Шифрование Signal не было обойдено, инфраструктура также не была скомпрометирована, а целостность программного кода не была нарушена. Программы и сервис продолжают надежно работать и не имеют уязвимостей.
Сама Signal оценивает фишинговую кампанию как "изощренную", в которой в основном использовался социальный инжиниринг. Злоумышленники выдавали себя за предполагаемую службу поддержки Signal, чтобы побудить пользователей раскрыть данные для входа в свои учетные записи Signal. Используя эти учетные данные, злоумышленники затем захватывали аккаунты Signal.
Фишинговые атаки могут затронуть все платформы
Подобные фишинговые атаки могут произойти в любом распространенном мессенджере, поясняется суть проблемы. "Поскольку мы не собираем данные пользователей, наши сведения об этих атаках поступают от жертв фишинга", — так Signal описывает объем информации, которой провайдер в настоящее время располагает об атаках.
Схема, по-видимому, была такова, что после захвата учетных записей часто менялся привязанный номер мобильного телефона. При таком изменении всегда происходит выход из соответствующей учетной записи Signal. Предполагаемая служба поддержки объясняла, что такой выход из системы был запланирован.
Как действовали злоумышленники
Жертвам рекомендовали зарегистрироваться заново или создать новую учетную запись. Таким образом создавалась новая учетная запись Signal, которая больше не была связана с исходной. По словам Signal, жертвы думали, что снова входят в свою основную учетную запись, и не замечали кражи аккаунта.
Захваченные злоумышленниками учетные записи затем использовались для атак на списки контактов жертв: злоумышленники выдавали себя за владельцев аккаунтов. Мы "делаем все возможное, чтобы помочь пользователям избежать и распознать такие попытки мошенничества", — заявляет Signal.
Signal вновь подчеркнул, что даже служба поддержки сервиса никогда не будет "отправлять запрос на сообщение или спрашивать ваш код подтверждения регистрации или PIN-код Signal". Signal рекомендует всем пользователям активировать блокировку регистрации в настройках учетной записи. Эта опция доступна, если учетная запись Signal привязана к номеру мобильного телефона.