FBI và CISA cảnh báo rằng tin tặc Nga đang lừa đảo người dùng Signal để lấy khóa khôi phục sao lưu, có thể mở kho lưu trữ tin nhắn.
Những điểm chính:
- Tin tặc liên quan đến tình báo Nga đang tìm kiếm khóa khôi phục sao lưu Signal, không chỉ mã xác minh hoặc PIN.
- Khóa bị đánh cắp cho phép kẻ tấn công khôi phục bản sao lưu, đọc tin nhắn riêng tư và nhóm, và duy trì quyền truy cập gắn với cùng số điện thoại.
- Chiến dịch lợi dụng kỹ thuật social engineering và các tính năng hợp pháp, chứ không nhằm vào mã hóa của Signal.
Tin tặc nhắm vào Signal
Bản khuyến cáo cập nhật, được công bố ngày 26/6, cho biết các tác nhân liên kết với Cơ quan Tình báo Nga đang giả mạo tài khoản hỗ trợ tự động để thúc ép mục tiêu tiết lộ khóa khôi phục Signal.
Thông báo nêu rõ UNC5792 và UNC4221, các tên không xuất hiện trong cảnh báo tháng 3, và liên kết hoạt động này với các nhóm tình báo Nga, bao gồm sĩ quan FSB làm việc cùng Lực lượng Biên phòng FSB.
Chiến dịch nhắm vào những người được các cơ quan này mô tả là có “giá trị tình báo cao”, bao gồm quan chức đương nhiệm và cựu quan chức Mỹ và quốc tế, quân nhân, nhân vật chính trị, nhà báo và quan chức tại Ukraine.
Các phiên bản trước đây yêu cầu mục tiêu cung cấp mã xác minh và mã PIN tài khoản, hoặc dùng liên kết mời vào nhóm giả để kết nối thiết bị của kẻ tấn công với tài khoản.
Phiên bản mới hơn hướng dẫn người dùng bật sao lưu Signal, mở màn hình khóa khôi phục và dán khóa vào cửa sổ trò chuyện.
Đọc thêm: Claude Fable 5 có thể trở lại khi Washington dịu giọng trong căng thẳng với Anthropic
Cảnh báo của FBI
FBI cho biết một mẫu tin nhắn được trình bày như đợt triển khai bắt buộc xác thực hai yếu tố, trong khi mẫu khác tuyên bố cần khôi phục dữ liệu khẩn cấp để tránh mất tin nhắn.
Nếu mục tiêu chia sẻ khóa, kẻ tấn công có thể khôi phục bản sao lưu, đọc lịch sử tin nhắn riêng tư và nhóm, và chiếm quyền kiểm soát tài khoản. Khóa có thể vẫn hợp lệ ngay cả khi nạn nhân đổi điện thoại hoặc tạo tài khoản mới dùng cùng số.
Tạo khóa mới trong cài đặt Signal sẽ vô hiệu hóa khóa cũ cho các lần tải bản sao lưu sau này, nhưng không thể đảo ngược việc truy cập vào các bản sao lưu đã bị xem.
Chiêu thức này không phá vỡ mã hóa của Signal hay bản thân ứng dụng. Nó hiệu quả vì nạn nhân bị thuyết phục giao nộp thông tin xác thực bảo vệ bản sao lưu.
Chương trình Phần thưởng Công lý của Bộ Ngoại giao Mỹ treo thưởng tới 10 triệu USD cho thông tin về UNC5792.
Google Threat Intelligence Group đã ghi nhận UNC5792 lạm dụng tính năng liên kết thiết bị của Signal vào đầu năm 2025, trước khi các nhà nghiên cứu thấy các kỹ thuật tương tự nhắm vào WhatsApp và Telegram.
Đọc tiếp: PUMP tăng 12% trong khi dữ liệu giao thức cảnh báo đà phục hồi có thể mong manh