Хакери активізували нову фішингову кампанію, спрямовану на користувачів месенджера Signal, у межах якої намагаються викрасти ключі доступу до резервних копій чатів, медіафайлів та документів. Про це повідомляє TechCrunch із посиланням на аналітичні матеріали журналіста The Washington Post Джоша Рогіна та дані експертів із кібербезпеки.
За інформацією дослідників, нова схема атак побудована на соціальній інженерії — методі, за якого зловмисники не зламують систему напряму, а змушують самих користувачів добровільно передати критичні дані. У цьому випадку хакери маскуються під офіційну службу підтримки Signal і надсилають повідомлення, які виглядають як системні попередження про нібито ризик втрати резервних копій через “помилки синхронізації” або “проблеми з безпекою акаунта”.
У цих повідомленнях користувачів переконують, що їхні зашифровані резервні копії чатів, фотографій та відео можуть бути безповоротно втрачені, якщо негайно не виконати певні дії. Основна вимога — передати “ключ відновлення”, який нібито необхідний для прив’язки резервної копії до акаунта або відновлення доступу до даних. Насправді ж цей ключ є єдиним інструментом розшифрування резервних копій, і його передача третім особам фактично відкриває повний доступ до зашифрованої інформації.
У повідомленнях, які поширюють зловмисники, використовується формулювання на кшталт: “Це прив’яже наявну резервну копію до вашого акаунту. Якщо цього не зробити, ви можете втратити доступ до профілю та всіх збережених даних”. Акаунти, з яких надходять такі звернення, часто мають назви, схожі на офіційні — наприклад, Signal Support, що створює у користувачів ілюзію легітимності.
Джош Рогін опублікував приклади таких повідомлень і зазначив, що вони надходили щонайменше кільком активістам, які виступають проти Комуністичної партії Китаю. Це дало підстави припускати, що атака може мати цільовий характер і бути спрямованою проти конкретних груп користувачів із підвищеним рівнем ризику. Водночас експерти наголошують, що аналогічні повідомлення отримували й люди, які не мають жодного стосунку до політичного активізму, що може свідчити про ширше розгортання кампанії або про паралельну діяльність кількох груп кіберзлочинців.
Директор служби цифрової безпеки Access Now Мохаммед Аль-Маскаті повідомив, що подібні фішингові спроби фіксували й серед інших користувачів, які не входять до початково ідентифікованих цільових груп. За його словами, це може свідчити про те, що кампанія або швидко масштабується, або ж використовує готові шаблони, які паралельно застосовують різні хакерські угруповання.
Фахівці звертають увагу, що сама атака складається з кількох етапів. Перший — отримання ключа відновлення через фішингове повідомлення. Другий — спроба захоплення акаунта користувача, наприклад через перехоплення телефонного номера або інші методи соціальної інженерії. Лише поєднання цих двох елементів дає зловмисникам потенційний доступ до старих повідомлень і файлів, які зазвичай не переносяться при звичайному вході в акаунт з нового пристрою.
Окрему увагу експерти приділяють тому, що резервні копії в сучасних месенджерах стають дедалі привабливішою ціллю для атак. Раніше основною метою зловмисників був безпосередній захват акаунтів для доступу до контактів або для подальшого шахрайства від імені жертви. Однак у випадку Signal нова функція резервного копіювання зробила можливим інший сценарій — доступ до архівів листування, які можуть містити значно більше чутливої інформації, ніж поточні повідомлення.
Йдеться про функцію Secure Backups, яку Signal запустив торік. Вона дозволяє користувачам зберігати зашифровані резервні копії на серверах компанії, але з критично важливою умовою: ключ відновлення генерується і зберігається лише на пристрої користувача. Сам месенджер не має доступу до цього ключа і технічно не може розшифрувати дані без нього.
У компанії підкреслюють, що Signal ніколи не ініціює контакт із користувачами першим і не запитує коди реєстрації, PIN-коди чи ключі відновлення. Будь-які подібні повідомлення розглядаються як шахрайські. Попри це, нова хвиля атак демонструє, що зловмисники активно використовують довіру користувачів до бренду та недостатню обізнаність щодо принципів роботи шифрування.
Експерти з кібербезпеки радять користувачам не передавати ключі відновлення нікому, навіть якщо повідомлення виглядає офіційно, перевіряти джерела зв’язку через офіційні канали та вмикати додаткові засоби захисту акаунтів. Серед них — блокування реєстрації на нових пристроях і використання унікальних PIN-кодів.
Наразі у Signal публічно не коментували нову хвилю атак. Водночас фахівці припускають, що подібні кампанії можуть продовжувати еволюціонувати, зокрема адаптуючись до нових функцій месенджера та змін у політиці безпеки.