FBI e CISA alertam que hackers russos estão aplicando phishing em usuários do Signal para obter chaves de recuperação de backup que podem destravar arquivos de mensagens.
Pontos principais:
- Hackers ligados à inteligência russa estão buscando chaves de recuperação de backup do Signal, não apenas códigos ou PINs.
- Uma chave roubada permite que invasores restaurem backups, leiam conversas privadas e em grupo, e mantenham o acesso vinculado ao mesmo número.
- A campanha explora engenharia social e recursos legítimos, não a criptografia do Signal.
Hackers no Signal
O alerta atualizado, publicado em 26 de junho, afirma que agentes ligados aos Serviços de Inteligência russos estão se passando por contas automatizadas de suporte para levar os alvos a expor chaves de recuperação do Signal.
O comunicado identifica UNC5792 e UNC4221, nomes ausentes do aviso de março, e vincula a atividade a grupos de inteligência russos, incluindo oficiais do FSB inseridos na Guarda de Fronteira do FSB.
A campanha mira pessoas que as agências descrevem como de “alto valor de inteligência”, incluindo autoridades atuais e anteriores dos EUA e de outros países, militares, figuras políticas, jornalistas e autoridades na Ucrânia.
Versões anteriores pediam aos alvos códigos de verificação e PINs de conta, ou usavam links falsos de convite para grupos para conectar o dispositivo do invasor à conta.
A versão mais recente instrui os usuários a ativar backups do Signal, abrir a tela da chave de recuperação e colar a chave na conversa.
Veja também: Claude Fable 5 pode voltar à medida que Washington suaviza impasse com a Anthropic
Alerta do FBI
O FBI informou que uma das mensagens de exemplo era apresentada como uma implementação obrigatória de autenticação de dois fatores, enquanto outra alegava que era necessária uma recuperação urgente de dados para evitar a perda de mensagens.
Se o alvo compartilhar a chave, os invasores podem restaurar o backup, ler o histórico de mensagens privadas e de grupo e assumir o controle da conta. A chave pode continuar válida mesmo depois de a vítima trocar de telefone ou criar uma nova conta usando o mesmo número.
Gerar uma nova chave nas configurações do Signal invalida a antiga para futuros downloads de backup, mas não desfaz nenhum backup que já tenha sido acessado.
A tática não quebra a criptografia do Signal nem o aplicativo em si. Ela funciona porque as vítimas são convencidas a entregar as credenciais que protegem seus backups.
O programa Rewards for Justice do Departamento de Estado está oferecendo até US$ 10 milhões por informações sobre o UNC5792.
O Google Threat Intelligence Group documentou o uso, pelo UNC5792, do recurso de dispositivos vinculados do Signal no início de 2025, antes de pesquisadores observarem táticas semelhantes direcionadas ao WhatsApp e ao Telegram.
Leia a seguir: PUMP sobe 12% enquanto dados do protocolo alertam que a recuperação pode ser frágil