FBI y CISA advierten que hackers rusos están realizando phishing a usuarios de Signal para obtener claves de recuperación de copias de seguridad que pueden desbloquear archivos de mensajes.
Puntos clave:
- Hackers vinculados a la inteligencia rusa buscan claves de recuperación de copias de seguridad de Signal, no solo códigos o PIN.
- Una clave robada puede permitir a los atacantes restaurar copias de seguridad, leer chats privados y de grupo, y mantener el acceso vinculado al mismo número.
- La campaña abusa de la ingeniería social y de funciones legítimas, no del cifrado de Signal.
Hackers en Signal
El aviso actualizado, publicado el 26 de junio, indica que actores vinculados a los Servicios de Inteligencia rusos se hacen pasar por cuentas automáticas de soporte para presionar a los objetivos a que revelen claves de recuperación de Signal.
El comunicado identifica a UNC5792 y UNC4221, nombres ausentes en la advertencia de marzo, y vincula la actividad a grupos de inteligencia rusos, incluidos oficiales del FSB integrados en la Guardia de Fronteras del FSB.
La campaña tiene como objetivo a personas que las agencias describen como de “alto valor de inteligencia”, incluidos funcionarios estadounidenses e internacionales actuales y anteriores, personal militar, figuras políticas, periodistas y funcionarios en Ucrania.
Versiones anteriores pedían a los objetivos códigos de verificación y PIN de cuenta, o usaban enlaces falsos de invitación a grupos para conectar el dispositivo de un atacante a la cuenta.
La versión más reciente indica a los usuarios que activen las copias de seguridad de Signal, abran la pantalla de la clave de recuperación y peguen la clave en el chat.
También lee: Claude Fable 5 podría regresar mientras Washington suaviza el enfrentamiento con Anthropic
Advertencia del FBI
El FBI señaló que un mensaje de ejemplo se presentaba como la implementación obligatoria de autenticación de dos factores, mientras que otro afirmaba que se necesitaba una recuperación urgente de datos para evitar la pérdida de mensajes.
Si un objetivo comparte la clave, los atacantes pueden restaurar la copia de seguridad, leer el historial de mensajes privados y de grupo y tomar el control de la cuenta. La clave puede seguir siendo válida incluso después de que la víctima cambie de teléfono o cree una nueva cuenta con el mismo número.
Generar una nueva clave en la configuración de Signal invalida la anterior para futuras descargas de copias de seguridad, pero no revierte ninguna copia ya accedida.
La táctica no derrota el cifrado de Signal ni la aplicación en sí. Funciona porque las víctimas son persuadidas para entregar las credenciales que protegen sus copias de seguridad.
El programa Rewards for Justice del Departamento de Estado ofrece hasta 10 millones de dólares por información sobre UNC5792.
El Google Threat Intelligence Group documentó que UNC5792 abusaba de la función de dispositivos vinculados de Signal a principios de 2025, antes de que los investigadores vieran tácticas similares dirigidas a WhatsApp y Telegram.
Lee a continuación: PUMP gana un 12% mientras los datos del protocolo advierten que el rebote puede ser frágil