FBI en CISA waarschuwen dat Russische hackers Signal-gebruikers phishen voor back-upherstelsleutels die berichtenarchieven kunnen ontgrendelen.
Belangrijkste punten:
- Aan Russische inlichtingendiensten gelinkte hackers zoeken naar Signal-back-upherstelsleutels, niet alleen naar codes of pincode.
- Met een gestolen sleutel kunnen aanvallers back-ups herstellen, privé- en groepschats lezen en toegang houden die aan hetzelfde nummer is gekoppeld.
- De campagne misbruikt social engineering en legitieme functies, niet de versleuteling van Signal.
Signal-hackers
Het bijgewerkte advies, gepubliceerd op 26 juni, stelt dat aan de Russische inlichtingendiensten gelinkte actoren zich voordoen als geautomatiseerde ondersteuningsaccounts om doelwitten ertoe te brengen hun Signal-herstelsleutels prijs te geven.
De kennisgeving identificeert UNC5792 en UNC4221, namen die ontbraken in de waarschuwing van maart, en koppelt de activiteit aan Russische inlichtingengroepen, waaronder FSB-officieren die zijn ingesloten bij de grenswacht van de FSB.
De campagne richt zich op personen die de diensten omschrijven als van “hoge inlichtingenwaarde”, waaronder huidige en voormalige Amerikaanse en internationale functionarissen, militair personeel, politieke figuren, journalisten en functionarissen in Oekraïne.
Eerdere versies vroegen doelwitten om verificatiecodes en account-pincodes, of gebruikten valse groepsuitnodigingslinks om het apparaat van een aanvaller aan het account te koppelen.
De nieuwere versie instrueert gebruikers om Signal-back-ups in te schakelen, het scherm met de herstelsleutel te openen en de sleutel in de chat te plakken.
Ook lezen: Claude Fable 5 kan terugkeren nu Washington de impasse met Anthropic versoepelt
FBI-waarschuwing
De FBI verklaarde dat één voorbeeldbericht werd gepresenteerd als een verplichte uitrol van twee-factor-authenticatie, terwijl een ander bericht beweerde dat dringende gegevensherstel nodig was om verlies van berichten te voorkomen.
Als een doelwit de sleutel deelt, kunnen aanvallers de back-up herstellen, de geschiedenis van privé- en groepsberichten lezen en het account overnemen. De sleutel kan geldig blijven nadat het slachtoffer van telefoon is gewisseld of een nieuw account heeft aangemaakt met hetzelfde nummer.
Het genereren van een nieuwe sleutel in de Signal-instellingen maakt de oude ongeldig voor toekomstige back-updownloads, maar maakt geen eerdere reeds benaderde back-ups ongedaan.
De tactiek omzeilt de Signal-versleuteling of de app zelf niet. Ze werkt omdat slachtoffers worden overgehaald om de inloggegevens prijs te geven die hun back-ups beschermen.
Het Rewards for Justice-programma van het State Department biedt tot 10 miljoen dollar voor informatie over UNC5792.
De Google Threat Intelligence Group documenteerde begin 2025 dat UNC5792 misbruik maakte van de functie voor gekoppelde apparaten van Signal, voordat onderzoekers vergelijkbare werkwijzen zagen die zich richtten op WhatsApp en Telegram.
Lees hierna: PUMP stijgt 12% terwijl Protocol Data waarschuwt dat het herstel fragiel kan zijn