Venäjä syytteessä Signal-tietojenkalasteluhyökkäyksistä saksalaisia viranomaisia vastaan
Saksa on virallisesti yhdistänyt kehittyneen tietojenkalastelukampanjan venäläisiin valtiollisiin toimijoihin sen jälkeen, kun satojen korkean profiilin henkilöiden, mukaan lukien liittoministereiden, Bundestagin jäsenten ja diplomaattien, Signal-tilit vaarantuivat. Saksan liittovaltionprosyyttori on avannut virallisen vakoilututkinnan, ja tapaus on kirjattu yhdeksi merkittävimmistä valtion tukemista kybertunkeutumisista saksalaisia poliittisia henkilöitä vastaan viime muistiin.
Hyökkäys ei murtanut Signalin salausta. Sen sijaan se hyödynsi jotain paljon vaikeammin korjattavaa: ihmisten luottamusta.
Kuinka Signal-tietojenkalasteluhyökkäys toimi
Hyökkääjät esiintyivät Signalin tukihenkilöstönä ja lähettivät väärennettyjä viestejä, jotka houkuttelivat kohteita luovuttamaan tilinsä vahvistuskoodit. Saatuaan nämä koodit haltuunsa hakkerit pystyivät yhdistämään uhrien Signal-tilit hyökkääjien hallitsemiin laitteisiin, saaden täyden pääsyn yksityisiin keskusteluihin ja yhteystietoluetteloihin — reaaliajassa, ilman että sovelluksen varsinaista salausta tarvitsi murtaa.
Tätä tekniikkaa kutsutaan yhdistetyn laitteen kaappaukseksi, ja se on erityisen vaarallinen, koska Signal ei rakenteensa vuoksi vaadi salasanaa viestien lukemiseen, kun tili on kerran yhdistetty. Salaus, joka tekee Signalista niin luotetun toimittajien, aktivistien ja virkamiesten keskuudessa, ohitetaan käytännössä sillä hetkellä, kun hyökkääjä hallitsee yhdistettyä laitetta.
Opetus tästä ei ole se, että Signal olisi epäturvallinen. Se on se, että mikään yksittäinen turvatyökalu, olipa se kuinka hyvin suunniteltu tahansa, ei pysty suojaamaan käyttäjää, joka on huijattu luovuttamaan tunnistetietonsa.
Miksi salatut sovellukset eivät yksin riitä
Tämä hyökkäys havainnollistaa kriittistä puutetta siinä, miten monet ihmiset — mukaan lukien ammattilaiset, joiden pitäisi tietää paremmin — ajattelevat digitaalisesta tietoturvasta. Salatut viestisovellukset suojaavat tietoja siirron aikana. Ne eivät suojaa sosiaalista manipulointia, vaarantuneita päätelaitteita tai tilitason manipulointia vastaan.
Valtion tukemat uhkatoimijat, erityisesti ne, joilla on merkittävät resurssit ja operatiivista kärsivällisyyttä, pyrkivät kohdistamaan hyökkäykset juuri inhimilliseen kerrokseen, koska tekninen kerros on niin vaikea murtaa. On paljon helpompaa saada joku luovuttamaan vahvistuskoodi kuin murtaa nykyaikainen salaus.
Tästä syystä tietoturva-ammattilaiset suosittelevat johdonmukaisesti kerroksellisia puolustuksia yksittäisen työkalun varassa olemisen sijaan. Jokainen lisäsuojakerros pakottaa hyökkääjän voittamaan yhden esteen lisää, ja käytännössä useimmat hyökkääjät siirtyvät helpompiin kohteisiin sen sijaan, että tuhlaisivat resursseja vahvistettuun kohteeseen.
Mitä tämä tarkoittaa sinulle
Useimmat tämän artikkelin lukijat eivät ole Saksan liittoministereitä. Mutta tässä kampanjassa käytetyt taktiikat eivät ole yksinomaisia korkean arvon hallituskohteille. Tietojenkalasteluhyökkäykset, jotka jäljittelevät suosittuja sovelluksia ja palveluja, ovat tavallisten käyttäjien yleisimpiä uhkia, ja Signal-identiteettivarkauksia on dokumentoitu useissa maissa viimeisten kahden vuoden aikana.
Tässä se, mitä Saksan tapaus tekee selväksi kaikille, jotka luottavat salattuun viestintään arkaluonteisessa viestinnässä:
Vahvistuskoodit ovat tilisi avaimia. Mikään laillinen palvelu, mukaan lukien Signal, ei koskaan pyydä sinua jakamaan vahvistuskoodia chat-viestin tai sähköpostin kautta. Jos joku pyytää sinultasi sitä, pyyntö on vilpillinen — piste.
Yhdistetyt laitteet ovat todellinen hyökkäyspinta. Signal-tilisi yhdistettyjen laitteiden säännöllinen tarkistaminen (löytyy asetuksista kohdasta Yhdistetyt laitteet) vie noin kolmekymmentä sekuntia ja voi paljastaa luvattoman pääsyn ennen kuin merkittävää vahinkoa on tapahtunut.
Kaksivaiheinen tunnistautuminen lisää merkityksellisen esteen. Signal tarjoaa rekisteröinnin lukituksen, joka vaatii PIN-koodin ennen kuin tilisi voidaan rekisteröidä uudelleen uudelle laitteelle. Sen käyttöönotto on yksi yksinkertaisimmista ja tehokkaimmista toimenpiteistä. Laajemmin ajatellen todentajasovelluksen käyttäminen SMS:n sijaan 2FA:ssa kaikissa tileissä nostaa merkittävästi tilin kaappauksen kustannuksia hyökkääjälle.
Laitteen tietoturva on yhtä tärkeää kuin sovelluksen tietoturva. Jos Signalia käyttävä laite on vaarantunut haittaohjelmien tai fyysisen pääsyn kautta, salaus tarjoaa vähän suojaa. Käyttöjärjestelmien pitäminen ajan tasalla, vahvojen laite-PIN-koodien tai biometriikan käyttö sekä sivulta ladattujen sovellusten välttäminen vähentää tätä riskiä huomattavasti.
Verkkotason tietoisuus on tärkeää. Arkaluonteisten tilien käyttäminen epäluotettavien julkisten verkkojen kautta luo lisäaltistumista. Luotettava VPN voi vähentää liikenteen sieppauksen riskiä, kun et ole hallitsemassasi verkossa — vaikka se on yksi kerros muiden joukossa eikä täydellinen ratkaisu.
Kokonaiskuva
Saksan Signal-tietojenkalasteluhyökkäys muistuttaa siitä, että maailman vahvin salaus ei voi korvata puuttuvaa tietoturvatietoisuuden kulttuuria. Kun kehittyneet valtiollisiin toimijoihin yhdistettävät tahot ovat valmiita investoimaan kärsivällisiin, kohdennettuihin sosiaalisen manipuloinnin kampanjoihin lainsäätäjiä ja diplomaatteja vastaan, arkaluonteista henkilökohtaista tai ammatillista tietoa käsittelevät tavalliset käyttäjät kohtaavat samanlaisen, joskin vähemmän resursoitunen version samasta uhasta.
Vastaus ei ole paniikki, eikä se ole Signalin kaltaisten työkalujen hylkääminen — Signal on edelleen yksi turvallisimmista saatavilla olevista viestintävaihtoehdoista. Vastaus on rakentaa tottumuksia ja kerroksellisia puolustuksia, jotka tekevät sosiaalisesta manipuloinnista vaikeampaa toteuttaa. Tarkista yhdistetyt laitteesi, ota käyttöön rekisteröinnin lukitus, käsittele ei-toivottuja vahvistuskoodipyyntöjä automaattisina varoitusmerkkeinä ja ajattele turvallisuusasentoasi toisiaan täydentävien suojausten sarjana eikä yhtenä kaiken työn tekevänä sovelluksena.
