FBI et CISA avertissent que des pirates russes hameçonnent les utilisateurs de Signal pour obtenir des clés de récupération de sauvegarde qui peuvent déverrouiller les archives de messages.
Points clés :
- Des pirates liés aux services de renseignement russes recherchent les clés de récupération de sauvegarde Signal, et pas seulement les codes ou les PIN.
- Une clé volée peut permettre aux attaquants de restaurer des sauvegardes, de lire des conversations privées et de groupe, et de conserver l’accès lié au même numéro.
- La campagne abuse de l’ingénierie sociale et de fonctionnalités légitimes, pas du chiffrement de Signal.
Pirates sur Signal
L’avis mis à jour, publié le 26 juin, indique que des acteurs liés aux services de renseignement russes se font passer pour des comptes de support automatisés afin de pousser des cibles à exposer leurs clés de récupération Signal.
L’avis identifie UNC5792 et UNC4221, des noms absents de l’alerte de mars, et relie l’activité à des groupes de renseignement russes, y compris des officiers du FSB intégrés aux gardes-frontières du FSB.
La campagne vise des personnes que les agences décrivent comme ayant une « grande valeur en renseignement », notamment des responsables actuels et anciens des États-Unis et de l’étranger, du personnel militaire, des personnalités politiques, des journalistes et des responsables en Ukraine.
Les versions précédentes demandaient aux cibles des codes de vérification et des PIN de compte, ou utilisaient de faux liens d’invitation à des groupes pour connecter l’appareil d’un attaquant au compte.
La nouvelle version demande aux utilisateurs d’activer les sauvegardes Signal, d’ouvrir l’écran de clé de récupération et de coller la clé dans la conversation.
À lire aussi : Claude Fable 5 pourrait revenir alors que Washington adoucit son bras de fer avec Anthropic
Avertissement du FBI
Le FBI a indiqué qu’un message type présentait la demande comme un déploiement obligatoire de l’authentification à deux facteurs, tandis qu’un autre prétendait qu’une récupération urgente de données était nécessaire pour éviter la perte de messages.
Si une cible partage la clé, les attaquants peuvent restaurer la sauvegarde, lire l’historique des messages privés et de groupe et prendre le contrôle du compte. La clé peut rester valide après que la victime a changé de téléphone ou créé un nouveau compte avec le même numéro.
Générer une nouvelle clé dans les paramètres Signal invalide l’ancienne pour les futures téléchargements de sauvegarde, mais n’annule pas l’accès à une sauvegarde déjà consultée.
Cette tactique ne contourne pas le chiffrement de Signal ni l’application elle-même. Elle fonctionne parce que les victimes sont persuadées de remettre les identifiants qui protègent leurs sauvegardes.
Le programme Rewards for Justice du département d’État offre jusqu’à 10 millions de dollars pour des informations sur UNC5792.
Le Google Threat Intelligence Group a documenté l’abus par UNC5792 de la fonctionnalité d’appareils liés de Signal début 2025, avant que les chercheurs n’observent des méthodes similaires visant WhatsApp et Telegram.
À lire ensuite : PUMP gagne 12 % tandis que Protocol Data avertit que le rebond pourrait être fragile