FBI และ CISA เตือนว่าแฮ็กเกอร์รัสเซียกำลังฟิชชิงผู้ใช้ Signal เพื่อขอกุญแจกู้คืนสำรอง ซึ่งสามารถปลดล็อกคลังข้อความได้
ประเด็นสำคัญ:
- แฮ็กเกอร์ที่เชื่อมโยงข่าวกรองรัสเซียกำลังล่ากุญแจกู้คืนสำรองของ Signal ไม่ได้ต้องการแค่โค้ดหรือ PIN
- หากกุญแจถูกขโมย ผู้โจมตีสามารถกู้คืนแบ็กอัป อ่านแชตส่วนตัวและกลุ่ม และรักษาการเข้าถึงที่ผูกกับหมายเลขเดิมได้
- แคมเปญนี้อาศัยวิศวกรรมสังคมและการใช้ฟีเจอร์ปกติในทางที่ผิด ไม่ได้โจมตีการเข้ารหัสของ Signal
แฮ็กเกอร์ Signal
คำแนะนำฉบับปรับปรุงที่ถูกเผยแพร่เมื่อ 26 มิ.ย. ระบุว่าผู้โจมตีที่เชื่อมโยงกับหน่วยข่าวกรองรัสเซียสวมรอยเป็นบัญชีซัพพอร์ตอัตโนมัติ เพื่อกดดันให้เหยื่อเปิดเผยกุญแจกู้คืนของ Signal
ประกาศระบุชื่อกลุ่ม UNC5792 และ UNC4221 ซึ่งไม่ถูกกล่าวถึงในคำเตือนเดือนมีนาคม และผูกกิจกรรมนี้กับกลุ่มข่าวกรองรัสเซีย รวมถึงเจ้าหน้าที่ FSB ที่ประจำอยู่กับหน่วย FSB Border Guards
แคมเปญมุ่งเป้าบุคคลที่หน่วยงานอธิบายว่ามี “คุณค่าด้านข่าวกรองสูง” เช่น เจ้าหน้าที่ปัจจุบันและอดีตของสหรัฐฯ และต่างประเทศ บุคลากรทหาร นักการเมือง ผู้สื่อข่าว และเจ้าหน้าที่ในยูเครน
ก่อนหน้านี้ ผู้โจมตีจะขอรหัสยืนยันและ PIN บัญชีจากเหยื่อ หรือใช้ลิงก์เชิญกลุ่มปลอมเพื่อลิงก์อุปกรณ์ของผู้โจมตีเข้ากับบัญชีของเหยื่อ
เวอร์ชันใหม่จะบอกให้ผู้ใช้เปิดใช้งานการสำรองข้อมูลใน Signal เปิดหน้าจอกุญแจกู้คืนและวางกุญแจลงในห้องแชต
อ่านเพิ่มเติม: Claude Fable 5 อาจกลับมาอีกครั้งเมื่อวอชิงตันผ่อนท่าทีต่อ Anthropic
คำเตือนจาก FBI
FBI ระบุว่าข้อความตัวอย่างหนึ่งถูกจัดกรอบให้เป็นการบังคับใช้การยืนยันตัวตนสองขั้นตอน ส่วนอีกข้อความอ้างว่าจำเป็นต้องกู้คืนข้อมูลอย่างเร่งด่วนเพื่อป้องกันข้อความสูญหาย
หากเหยื่อส่งมอบกุญแจ ผู้โจมตีสามารถกู้คืนแบ็กอัป อ่านประวัติข้อความส่วนตัวและกลุ่ม และยึดบัญชีได้ กุญแจยังอาจใช้งานได้แม้เหยื่อเปลี่ยนโทรศัพท์หรือสร้างบัญชีใหม่ด้วยหมายเลขเดิม
การสร้างกุญแจใหม่ในการตั้งค่า Signal จะทำให้กุญแจเดิมใช้ดาวน์โหลดแบ็กอัปในอนาคตไม่ได้ แต่ไม่สามารถยกเลิกการเข้าถึงแบ็กอัปที่ถูกเปิดไปแล้ว
กลวิธีนี้ไม่ได้เจาะการเข้ารหัสของ Signal หรือแอปโดยตรง แต่ได้ผลเพราะเหยื่อถูกหลอกให้มอบข้อมูลยืนยันตัวตนที่ป้องกันแบ็กอัปของตนเอง
โครงการ Rewards for Justice ของ กระทรวงการต่างประเทศสหรัฐฯ เสนอรางวัลสูงสุด 10 ล้านดอลลาร์ สำหรับข้อมูลเกี่ยวกับ UNC5792
Google Threat Intelligence Group บันทึกว่ากลุ่ม UNC5792 ใช้ฟีเจอร์เชื่อมต่ออุปกรณ์ของ Signal ในช่วงต้นปี 2025 ก่อนที่นักวิจัยจะพบเทคนิคคล้ายกันที่มุ่งเป้าไปที่ WhatsApp และ Telegram
อ่านต่อ: PUMP พุ่ง 12% ขณะข้อมูลโปรโตคอลเตือนว่าการฟื้นตัวอาจเปราะบาง