FBI và CISA cảnh báo tin tặc Nga đang lừa đảo người dùng Signal để lấy khóa khôi phục sao lưu, từ đó mở khóa kho lưu trữ tin nhắn.
Điểm chính:
- Tin tặc liên quan đến tình báo Nga đang nhắm tới khóa khôi phục sao lưu Signal, chứ không chỉ mã xác minh hoặc PIN.
- Một khóa bị đánh cắp cho phép kẻ tấn công khôi phục bản sao lưu, đọc tin nhắn riêng tư và nhóm, và duy trì quyền truy cập gắn với cùng một số điện thoại.
- Chiến dịch này lợi dụng kỹ nghệ xã hội và các tính năng hợp pháp, chứ không phải nhắm vào mã hóa của Signal.
Tin tặc Signal
Khuyến cáo cập nhật, được công bố ngày 26 tháng 6, cho biết các tác nhân liên quan đến Cơ quan Tình báo Nga đang giả dạng tài khoản hỗ trợ tự động để buộc mục tiêu lộ khóa khôi phục Signal.
Thông báo nêu rõ UNC5792 và UNC4221, những tên không có trong cảnh báo tháng 3, và liên kết hoạt động này với các nhóm tình báo Nga, bao gồm sĩ quan FSB được cài cắm trong Lực lượng Biên phòng FSB.
Chiến dịch nhắm vào những người được các cơ quan mô tả là có “giá trị tình báo cao”, bao gồm các quan chức Mỹ và quốc tế đương nhiệm và đã nghỉ, quân nhân, nhân vật chính trị, nhà báo và quan chức tại Ukraine.
Các phiên bản trước đó yêu cầu mục tiêu cung cấp mã xác minh và mã PIN tài khoản, hoặc dùng liên kết mời nhóm giả để kết nối thiết bị của kẻ tấn công với tài khoản.
Phiên bản mới hơn hướng dẫn người dùng bật sao lưu Signal, mở màn hình khóa khôi phục và dán khóa vào cửa sổ trò chuyện.
Đọc thêm: Claude Fable 5 có thể trở lại khi Washington dịu thế đối đầu với Anthropic
Cảnh báo của FBI
FBI cho biết một tin nhắn mẫu được trình bày như bắt buộc triển khai xác thực hai yếu tố, trong khi tin nhắn khác tuyên bố cần khôi phục dữ liệu khẩn cấp để tránh mất tin nhắn.
Nếu mục tiêu chia sẻ khóa, kẻ tấn công có thể khôi phục bản sao lưu, đọc lịch sử tin nhắn riêng tư và nhóm, và chiếm quyền tài khoản. Khóa có thể vẫn còn hiệu lực ngay cả khi nạn nhân đổi điện thoại hoặc tạo tài khoản mới với cùng số đó.
Tạo khóa mới trong phần cài đặt Signal sẽ vô hiệu hóa khóa cũ cho các lần tải bản sao lưu về sau, nhưng không thể đảo ngược việc truy cập vào bất kỳ bản sao lưu nào đã bị mở trước đó.
Chiêu thức này không phá vỡ mã hóa hoặc bản thân ứng dụng Signal. Nó hiệu quả vì nạn nhân bị thuyết phục giao nộp thông tin xác thực bảo vệ bản sao lưu của họ.
Chương trình Phần thưởng vì Công lý của Bộ Ngoại giao Mỹ treo thưởng tới 10 triệu đô la cho thông tin về UNC5792.
Google Threat Intelligence Group đã ghi nhận UNC5792 lạm dụng tính năng liên kết thiết bị của Signal vào đầu năm 2025, trước khi các nhà nghiên cứu thấy các kỹ thuật tương tự được dùng nhắm vào WhatsApp và Telegram.
Đọc tiếp: PUMP tăng 12% trong khi dữ liệu giao thức cảnh báo đợt phục hồi có thể mong manh