FBI e CISA alertam que hackers russos estão fazendo phishing com usuários do Signal em busca de chaves de recuperação de backup que podem desbloquear arquivos de mensagens.
Pontos principais:
- Hackers ligados à inteligência russa estão atrás de chaves de recuperação de backup do Signal, não apenas códigos ou PINs.
- Uma chave roubada pode permitir que invasores restaurem backups, leiam conversas privadas e em grupo e mantenham o acesso vinculado ao mesmo número.
- A campanha explora engenharia social e recursos legítimos, não a criptografia do Signal.
Hackers no Signal
O alerta atualizado, publicado em 26 de junho, afirma que agentes ligados aos Serviços de Inteligência da Rússia estão se passando por contas automatizadas de suporte para induzir alvos a expor chaves de recuperação do Signal.
O comunicado identifica UNC5792 e UNC4221, nomes ausentes do alerta de março, e vincula a atividade a grupos de inteligência russos, incluindo oficiais do FSB integrados à Guarda de Fronteira do FSB.
A campanha mira pessoas que as agências descrevem como de “alto valor de inteligência”, incluindo atuais e ex‑funcionários dos EUA e de outros países, militares, figuras políticas, jornalistas e autoridades na Ucrânia.
Versões anteriores pediam aos alvos códigos de verificação e PINs de conta, ou usavam falsos links de convite para grupo para conectar o dispositivo do invasor à conta.
A versão mais recente orienta os usuários a ativar backups no Signal, abrir a tela da chave de recuperação e colar a chave na conversa.
Veja também: Claude Fable 5 pode retornar enquanto Washington ameniza impasse com a Anthropic
Alerta do FBI
O FBI disse que uma mensagem de exemplo foi apresentada como uma implementação obrigatória de autenticação em duas etapas, enquanto outra alegava ser necessária recuperação urgente de dados para evitar perda de mensagens.
Se o alvo compartilhar a chave, os invasores podem restaurar o backup, ler o histórico de mensagens privadas e em grupo e assumir o controle da conta. A chave pode continuar válida mesmo depois que a vítima troca de telefone ou cria uma nova conta usando o mesmo número.
Gerar uma nova chave nas configurações do Signal invalida a antiga para futuros downloads de backup, mas não desfaz nenhum backup que já tenha sido acessado.
A tática não derrota a criptografia do Signal nem o app em si. Ela funciona porque as vítimas são convencidas a entregar credenciais que protegem seus backups.
O programa Rewards for Justice do Departamento de Estado está oferecendo até US$ 10 milhões por informações sobre a UNC5792.
O Google Threat Intelligence Group documentou a UNC5792 abusando do recurso de dispositivo vinculado do Signal no início de 2025, antes de pesquisadores verem táticas semelhantes direcionadas ao WhatsApp e ao Telegram.
Leia a seguir: PUMP sobe 12% enquanto dados do protocolo alertam que a recuperação pode ser frágil