Vinculados a la inteligencia rusa están intentando secuestrar cuentas de Signal haciéndose pasar por personal de soporte técnico. Su objetivo es obtener las claves de recuperación de copias de seguridad de personas con acceso a información sensible, como funcionarios, militares, figuras políticas, periodistas y líderes ucranianos. Esta campaña se basa en el engaño y el phishing, y no en una vulnerabilidad del cifrado de extremo a extremo de la aplicación.

La campaña se dirige a personas con acceso a conversaciones sensibles, incluyendo funcionarios, personal militar, figuras políticas, periodistas y líderes ucranianos.

Se basa en el engaño, no en una vulneración del cifrado de extremo a extremo de Signal, pero la posible pérdida de mensajes privados sigue siendo grave.

Estos mensajes crean urgencia alegando que los chats, los archivos multimedia o los datos de la cuenta están a punto de desaparecer debido a un problema de sincronización.

Se guía al destinatario a través de la configuración de la copia de seguridad, se le pide que copie la clave de recuperación y luego se le indica que la pegue en el chat.

El FBI ha identificado múltiples grupos de los Servicios de Inteligencia rusos detrás de esta actividad de phishing en aplicaciones de mensajería comercial contra personas de alto valor.

Este cambio convierte los datos de recuperación de la cuenta en un premio particularmente valioso. Cuando un objetivo sigue las instrucciones, comparte la clave y tiene mensajes almacenados en una copia de seguridad, los atacantes pueden descargar chats privados y grupales históricos antes de asumir el control de la cuenta.

La agencia subrayó que se han visto comprometidas cuentas individuales, mientras que la aplicación en sí y su cifrado no lo han sido.

Oficiales del Servicio Federal de Seguridad ruso que trabajan con guardias fronterizos, junto con personas que actúan para los servicios militares rusos, están asociados con estos ataques.

La actividad se rastrea públicamente como UNC5792 y UNC4221, y continúa un patrón cubierto en una campaña de phishing de Signal anterior.

El FBI señaló en un informe  que la operación sigue en curso y requiere una atención cercana por parte de las comunidades afectadas.

Inteligencia Rusa roban claves de copia de seguridad de Signal

Los atacantes suplantan cuentas de soporte automatizadas dentro de la aplicación de mensajería, utilizando un lenguaje que parece oficial y presionando a las víctimas para que actúen rápidamente.

Algunos engaños piden códigos de verificación o PIN de la cuenta, mientras que los mensajes actualizados se centran en las claves de recuperación de la copia de seguridad. Ese cambio es importante porque una clave de recuperación puede exponer contenido archivado que un atacante no podría leer de otro modo a través del servicio.

Las víctimas se enfrentan a un problema duradero si revelan una clave. La clave robada sigue siendo válida incluso cuando configuran una nueva cuenta con el mismo número de teléfono, lo que podría permitir que los intrusos regresen más tarde.

Generar una nueva clave de recuperación de copia de seguridad en los Ajustes invalida la clave antigua para futuras descargas, aunque no puede deshacer una copia de seguridad que ya haya sido copiada.

El Ejemplo de Mensaje de Phishing 1 muestra un aviso falso sobre cambios en la mensajería y la verificación obligatoria de dos factores. El Ejemplo de Mensaje de Phishing 2 utiliza un supuesto problema de recuperación de datos y dice explícitamente a los destinatarios que peguen una clave de recuperación en un chat.

La táctica se alinea con una ola de robos de copias de seguridad de Signal que ha atacado la confianza que los usuarios depositan en las notificaciones del servicio.

Protegiendo conversaciones sensibles

Si recibes una advertencia de cuenta inesperada, no debes seguir las instrucciones contenidas en el mensaje, incluso si la cuenta parece legítima.

Los canales de soporte reales no solicitan códigos de verificación dentro de la aplicación, no envían enlaces para verificar o restaurar cuentas, ni piden a los usuarios que revelen una clave de recuperación. Las recientes guías de phishing del FBI y la CISA subrayan similarmente que debes tratar con precaución las alertas de seguridad no solicitadas.

Si crees que has compartido una clave de recuperación, debes generar un reemplazo en los ajustes de copia de seguridad inmediatamente y considerar que la copia de seguridad histórica ha sido expuesta.

Debes revisar los dispositivos activos y la actividad de la cuenta, cambiar las credenciales relacionadas cuando sea apropiado y conservar el mensaje engañoso para denunciarlo.

El FBI pide a las víctimas que presenten una denuncia al IC3, contacten con una oficina local del FBI o informen del incidente a la CISA. No vuelvas a utilizar una clave comprometida en ningún proceso de recuperación posterior.

Las organizaciones que apoyan a personal de alto riesgo deben dejar claro que un servicio cifrado puede seguir siendo técnicamente sólido mientras que una cuenta se pierde a través de la ingeniería social.

Las sesiones informativas regulares sobre intentos de suplantación de identidad pueden reducir la posibilidad de que los mensajes urgentes anulen el buen juicio.

La amenaza también refuerza las lecciones de los ataques rusos a las redes de telecomunicaciones, donde el acceso a las comunicaciones puede generar amplias consecuencias operativas y personales. Ese riesgo se extiende más allá de la privacidad individual, afectando a la continuidad de la misión y la seguridad.

Fuentes:
https://cybersecuritynews.com/hackers-phish-signal-backup-keys/