FBI et CISA avertissent que des pirates russes mènent des campagnes de hameçonnage contre les utilisateurs de Signal pour obtenir des clés de récupération de sauvegarde pouvant déverrouiller les archives de messages.
Points clés :
- Des pirates liés aux services de renseignement russes recherchent des clés de récupération de sauvegarde Signal, et pas seulement des codes ou des PIN.
- Une clé volée peut permettre aux attaquants de restaurer des sauvegardes, de lire des discussions privées et de groupe, et de conserver un accès lié au même numéro.
- La campagne exploite l’ingénierie sociale et des fonctionnalités légitimes, et non le chiffrement de Signal.
Pirates visant Signal
L’avis mis à jour, publié le 26 juin, indique que des acteurs liés aux services de renseignement russes se font passer pour des comptes d’assistance automatisés afin de pousser leurs cibles à exposer leurs clés de récupération Signal.
L’avis identifie UNC5792 et UNC4221, des noms absents de l’alerte de mars, et relie cette activité à des groupes de renseignement russes, notamment des officiers du FSB intégrés aux gardes-frontières du FSB.
La campagne vise des personnes que les agences décrivent comme ayant une « haute valeur en renseignement », notamment des responsables américains et étrangers actuels et anciens, du personnel militaire, des figures politiques, des journalistes et des responsables en Ukraine.
Les premières versions demandaient aux cibles des codes de vérification et des PIN de compte, ou utilisaient de faux liens d’invitation à des groupes pour connecter l’appareil d’un attaquant au compte.
La nouvelle version demande aux utilisateurs d’activer les sauvegardes Signal, d’ouvrir l’écran de clé de récupération et de coller la clé dans la discussion.
À lire aussi : Le retour possible de Claude Fable 5 alors que Washington adoucit son bras de fer avec Anthropic
Avertissement du FBI
Le FBI indique qu’un exemple de message était présenté comme le déploiement obligatoire d’une authentification à deux facteurs, tandis qu’un autre prétendait qu’une récupération urgente des données était nécessaire pour éviter la perte de messages.
Si une cible partage la clé, les attaquants peuvent restaurer la sauvegarde, lire l’historique des messages privés et de groupe, et prendre le contrôle du compte. La clé peut rester valide après que la victime a changé de téléphone ou créé un nouveau compte avec le même numéro.
Générer une nouvelle clé dans les paramètres de Signal invalide l’ancienne pour les futures téléchargements de sauvegarde, mais cela n’annule pas les sauvegardes déjà consultées.
Cette tactique ne contourne pas le chiffrement de Signal ni l’application elle-même. Elle fonctionne parce que les victimes sont persuadées de remettre les identifiants qui protègent leurs sauvegardes.
Le programme Rewards for Justice du département d’État offre jusqu’à 10 millions de dollars pour des informations sur UNC5792.
Le Google Threat Intelligence Group a documenté l’utilisation par UNC5792 de la fonctionnalité d’appareils liés de Signal au début de 2025, avant que les chercheurs n’observent des méthodes similaires visant WhatsApp et Telegram.
À lire ensuite : PUMP gagne 12 % tandis que Protocol Data avertit que le rebond pourrait être fragile