El FBI y la CISA advierten sobre una campaña de phishing de la inteligencia rusa dirigida a usuarios de Signal, especialmente figuras gubernamentales y militares. Los atacantes se hacen pasar por soporte técnico para engañar a las víctimas y robar sus "Claves de Recuperación de Copia de Seguridad", permitiéndoles acceder a todo el historial de mensajes. Las autoridades recuerdan que el soporte oficial nunca solicita códigos de verificación ni claves privadas a través de la aplicación.

El FBI y la CISA advierten que una campaña de phishing dirigida a usuarios de Signal vinculada a los servicios de inteligencia rusos ha evolucionado para robar las claves de recuperación de copias de seguridad de Signal, permitiendo a los atacantes acceder a los mensajes históricos de las víctimas.

El anuncio de servicio público actualizado es una actualización de un aviso de marzo de 2026 que advertía que los actores de amenazas se dirigían a usuarios de aplicaciones de mensajería comercial, particularmente Signal, a través de campañas de phishing diseñadas para secuestrar cuentas en lugar de romper el cifrado de extremo a extremo.

"Los actores de amenazas cibernéticas RIS continúan haciéndose pasar por cuentas de soporte automatizadas de CMA en mensajes de phishing actualizados, pero han evolucionado sus tácticas para intentar obtener las claves de recuperación de copias de seguridad de las víctimas", advierte un PSA del FBI publicado.

Según el FBI, la campaña continúa dirigiéndose a personas de alto valor de inteligencia, incluidos funcionarios gubernamentales actuales y anteriores de EE. UU. e internacionales, personal militar, figuras políticas, periodistas y funcionarios clave ubicados en Ucrania.

Las agencias atribuyen la actividad a los Servicios de Inteligencia Rusos (RIS), incluidos oficiales integrados en los Guardias Fronterizos del Servicio Federal de Seguridad de Rusia (FSB) y otros actores que trabajan en nombre del ejército ruso. La campaña se rastrea públicamente como UNC5792 y UNC4221.

Nueva táctica de phishing se dirige a las copias de seguridad de signal

Mientras que el aviso original se centraba en mensajes de phishing que intentaban robar códigos de verificación o PIN de cuenta, o engañar a los usuarios para vincular dispositivos controlados por atacantes a sus cuentas de Signal, la alerta actualizada indica que los atacantes han evolucionado sus tácticas.

El FBI afirma que los actores de amenazas continúan suplantando a los equipos de soporte de Signal, enviando mensajes de phishing que afirman falsamente que Signal está introduciendo una verificación obligatoria de dos factores tras una supuesta ola de ataques de hackers de Irán y países postsoviéticos.

"Recientemente, los intentos de hackear a los usuarios de nuestro mensajero con la conexión de dispositivos de terceros a la cuenta se han vuelto más frecuentes", dice el mensaje inicial de phishing.

"Una investigación realizada conjuntamente con el gobierno de EE. UU. y socios europeos reveló que los ataques a las cuentas fueron llevados a cabo por hackers de Irán y países postsoviéticos. En este sentido, Signal actualiza los Términos de Servicio y la Política de Privacidad, e introduce la Verificación Obligatoria de Dos Factores para los usuarios".

"Para no perder sus mensajes y archivos multimedia, configure su copia de seguridad de Signal (Ajustes -> Copias de seguridad -> Activar copias de seguridad -> Ver clave de recuperación -> Copiar al portapapeles -> Siguiente -> Introducir la clave de recuperación -> Siguiente -> Continuar -> Elegir su plan de copia de seguridad). Haga clic en el botón 'Aceptar' en la ventana emergente y manténgase atento a las actualizaciones de seguridad en nuestro mensajero".

Cuando un objetivo sigue estas instrucciones, sus mensajes de Signal se respaldan utilizando la función de Copias de Seguridad Seguras de Signal, que almacena copias cifradas de las conversaciones en los servidores en la nube de Signal.

Los datos están cifrados de extremo a extremo utilizando la clave de recuperación creada en los pasos anteriores y nunca debe ser entregada a nadie más, ya que cualquier persona con la clave puede usarla para recuperar los datos respaldados en sus propios dispositivos.

Los actores de amenazas envían posteriormente un segundo mensaje de phishing, todavía fingiendo ser el soporte de Signal, advirtiendo que sus datos corren riesgo de pérdida debido a un problema de sincronización.

"Los datos de su cuenta de Signal (mensajes y multimedia) corren el riesgo de pérdida permanente debido a un problema de sincronización", dice el segundo mensaje de Signal.

Los actores de amenazas luego le instan a ir a la configuración de Copia de Seguridad, copiar su clave de recuperación al portapapeles y pegarla en el mensaje para evitar la pérdida de sus datos almacenados.

Sin embargo, una vez que usted proporciona su clave de recuperación, ellos pueden restaurar la copia de seguridad en sus propios dispositivos y obtener acceso a los mensajes históricos de la víctima, incluidas las conversaciones privadas y grupales.

El aviso actualizado también advierte sobre un escenario de recuperación que los usuarios podrían pasar por alto después de que su cuenta fuera comprometida.

El FBI advierte que si un atacante obtiene la clave de recuperación de copia de seguridad de un usuario, crear una nueva cuenta de Signal utilizando el mismo número de teléfono no invalida la antigua clave robada.

En su lugar, los usuarios deben generar una nueva clave de recuperación de copia de seguridad a través de los ajustes de copia de seguridad de Signal, lo que invalida la clave anterior para futuras descargas de copias de seguridad.

No obstante, las agencias advierten que generar una nueva clave de recuperación no impedirá que los atacantes accedan a las copias de seguridad que ya hayan descargado utilizando la clave comprometida.

El aviso actualizado recuerda a los usuarios que los equipos de soporte legítimos de aplicaciones de mensajería solo se comunican a través de direcciones de correo electrónico oficiales de la empresa, nunca solicitan códigos de verificación dentro de la aplicación y no envían enlaces pidiendo a los usuarios que verifiquen o restauren sus cuentas.

Se anima a cualquier persona que crea haber sido víctima de la campaña a informar el incidente al Centro de Quejas de Delitos en Internet del FBI (IC3), a una oficina local del FBI, o a la CISA.

Fuente:
BleepingComputer