FBI e CISA alertam que hackers russos estão aplicando phishing em usuários do Signal para obter chaves de recuperação de backup que podem desbloquear arquivos de mensagens.
Pontos-chave:
- Hackers ligados à inteligência russa estão buscando chaves de recuperação de backup do Signal, não apenas códigos ou PINs.
- Uma chave roubada permite que atacantes restaurem backups, leiam conversas privadas e em grupo e mantenham o acesso vinculado ao mesmo número.
- A campanha explora engenharia social e recursos legítimos, não a criptografia do Signal.
Hackers no Signal
O alerta atualizado, publicado em 26 de junho, afirma que atores ligados aos serviços de inteligência russos estão se passando por contas automatizadas de suporte para induzir os alvos a expor chaves de recuperação do Signal.
O aviso identifica UNC5792 e UNC4221, nomes ausentes do alerta de março, e relaciona a atividade a grupos de inteligência russos, incluindo oficiais do FSB integrados à Guarda de Fronteira do FSB.
A campanha mira pessoas que as agências descrevem como de “alto valor de inteligência”, incluindo autoridades atuais e ex‑autoridades dos EUA e internacionais, militares, figuras políticas, jornalistas e autoridades na Ucrânia.
Versões anteriores pediam aos alvos códigos de verificação e PINs de conta, ou usavam links falsos de convite para grupos para conectar o dispositivo de um atacante à conta.
A versão mais recente instrui os usuários a ativar backups do Signal, abrir a tela de chave de recuperação e colar a chave na conversa.
Veja também: Claude Fable 5 pode retornar enquanto Washington suaviza impasse com a Anthropic
Alerta do FBI
O FBI afirmou que uma das mensagens de exemplo foi apresentada como uma implantação obrigatória de autenticação em duas etapas, enquanto outra alegava que era necessária uma recuperação urgente de dados para evitar perda de mensagens.
Se o alvo compartilhar a chave, os atacantes podem restaurar o backup, ler o histórico de mensagens privadas e em grupo e assumir o controle da conta. A chave pode continuar válida mesmo depois que a vítima troca de telefone ou cria uma nova conta usando o mesmo número.
Gerar uma nova chave nas configurações do Signal invalida a antiga para futuros downloads de backup, mas não reverte nenhum backup que já tenha sido acessado.
A tática não derrota a criptografia do Signal nem o aplicativo em si. Ela funciona porque as vítimas são convencidas a entregar as credenciais que protegem seus backups.
O programa Rewards for Justice do Departamento de Estado está oferecendo até US$ 10 milhões por informações sobre a UNC5792.
O Google Threat Intelligence Group documentou a UNC5792 abusando do recurso de dispositivo vinculado do Signal no início de 2025, antes de pesquisadores verem técnicas semelhantes direcionadas ao WhatsApp e ao Telegram.
Leia a seguir: PUMP sobe 12% enquanto dados do protocolo alertam que retomada pode ser frágil