FBI e CISA alertam que hackers russos estão fazendo phishing com usuários do Signal para obter chaves de recuperação de backup que podem desbloquear arquivos de mensagens.
Pontos-chave:
- Hackers ligados à inteligência russa estão buscando chaves de recuperação de backup do Signal, não apenas códigos ou PINs.
- Uma chave roubada pode permitir que invasores restaurem backups, leiam conversas privadas e em grupo e mantenham o acesso vinculado ao mesmo número.
- A campanha explora engenharia social e recursos legítimos, não a criptografia do Signal.
Hackers no Signal
O comunicado atualizado, publicado em 26 de junho, afirma que atores ligados aos serviços de inteligência russos estão se passando por contas automatizadas de suporte para levar os alvos a expor chaves de recuperação do Signal.
O aviso identifica UNC5792 e UNC4221, nomes ausentes do alerta de março, e vincula a atividade a grupos de inteligência russos, incluindo oficiais do FSB incorporados à Guarda de Fronteira do FSB.
A campanha tem como alvo pessoas descritas pelas agências como de “alto valor de inteligência”, incluindo autoridades atuais e ex-autoridades dos EUA e de outros países, militares, figuras políticas, jornalistas e autoridades na Ucrânia.
Versões anteriores pediam aos alvos códigos de verificação e PINs de conta ou usavam links falsos de convite para grupo para conectar o dispositivo de um invasor à conta.
A versão mais recente instrui os usuários a ativar backups do Signal, abrir a tela de chave de recuperação e colar a chave na conversa.
Leia também: Claude Fable 5 pode voltar enquanto Washington suaviza impasse com a Anthropic
Alerta do FBI
O FBI afirmou que uma mensagem de exemplo foi apresentada como a implementação obrigatória de autenticação de dois fatores, enquanto outra alegava que era necessária recuperação urgente de dados para evitar perda de mensagens.
Se um alvo compartilhar a chave, os invasores podem restaurar o backup, ler o histórico de mensagens privadas e em grupo e assumir o controle da conta. A chave pode continuar válida mesmo depois de a vítima trocar de telefone ou criar uma nova conta usando o mesmo número.
Gerar uma nova chave nas configurações do Signal invalida a antiga para downloads de backup futuros, mas não reverte nenhum backup que já tenha sido acessado.
A tática não derrota a criptografia do Signal nem o aplicativo em si. Ela funciona porque as vítimas são convencidas a fornecer as credenciais que protegem seus backups.
O programa Rewards for Justice do Departamento de Estado está oferecendo até US$ 10 milhões por informações sobre o UNC5792.
O Google Threat Intelligence Group documentou o UNC5792 abusando do recurso de dispositivo vinculado do Signal no início de 2025, antes de pesquisadores verem táticas semelhantes direcionadas ao WhatsApp e ao Telegram.
Próximo: PUMP sobe 12% enquanto dados do protocolo alertam que a recuperação pode ser frágil