Rusija optužena za phishing napade na Signal koji su ciljali njemačke dužnosnike
Njemačka je službeno pripisala sofisticiranu phishing kampanju ruskim državno sponzoriranim akterima, nakon što su stotine visokoprofilnih meta, uključujući savezne ministre, zastupnike Bundestaga i diplomate, imale kompromitiranu svoje Signal račune. Njemačko Savezno tužiteljstvo pokrenulo je formalnu istragu o špijunaži, označivši incident kao jedan od najznačajnijih državno podržanih kibernetičkih upada usmjerenih na njemačke političke figure u novijoj povijesti.
Napad nije probio Signalovu enkripciju. Umjesto toga, iskoristio je nešto što je daleko teže zakrpati: ljudsko povjerenje.
Kako je funkcionirao phishing napad na Signal
Napadači su se predstavljali kao djelatnici Signalove korisničke podrške, šaljući lažne poruke kojima su potaknuli mete da predaju svoje kodove za provjeru računa. Nakon što su došli u posjed tih kodova, hakeri su mogli povezati Signal račune žrtava s uređajima pod kontrolom napadača, dobivajući potpuni pristup privatnim razgovorima i popisima kontakata — u stvarnom vremenu, bez ikakve potrebe za probijanjem temeljne enkripcije aplikacije.
Ova tehnika poznata je kao otmica putem povezanog uređaja, a posebno je opasna jer Signal, po svojem dizajnu, ne zahtijeva lozinku za čitanje poruka jednom kada je račun povezan. Enkripcija koja čini Signal toliko pouzdanim među novinarima, aktivistima i vladinim dužnosnicima učinkovito se zaobilazi u trenutku kada napadač preuzme kontrolu nad povezanim uređajem.
Pouka ovdje nije da je Signal nesiguran. Pouka je da nijedno sigurnosno sredstvo, bez obzira koliko dobro osmišljeno, ne može zaštititi korisnika kojeg se prevari da preda vlastite pristupne podatke.
Zašto šifrirane aplikacije same po sebi nisu dovoljne
Ovaj napad ilustrira kritičan nedostatak u načinu na koji mnogi ljudi — uključujući stručnjake koji bi trebali znati bolje — razmišljaju o digitalnoj sigurnosti. Aplikacije za šifrirano dopisivanje štite podatke u prijenosu. Ne štite od socijalnog inženjeringa, kompromitiranih krajnjih točaka ili manipulacije na razini računa.
Državno sponzorirani akteri prijetnji, posebno oni sa značajnim resursima i operativnom strpljivošću, uglavnom ciljaju ljudski sloj upravo zato što je tehnički sloj toliko teško probiti. Daleko je lakše uvjeriti nekoga da preda kod za provjeru nego probiti modernu enkripciju.
Upravo zbog toga stručnjaci za sigurnost dosljedno zagovaraju slojevitu obranu umjesto oslanjanja na bilo koje pojedinačno sredstvo. Svaki dodatni sloj zaštite prisiljava napadača da savlada još jednu prepreku, a u praksi će većina napadača prijeći na lakše mete umjesto da troši resurse na dobro zaštićenu.
Što to znači za vas
Većina onih koji ovo čitaju nisu njemački savezni ministri. No taktike korištene u ovoj kampanji nisu svojstvene isključivo visokoprofilnim vladinim metama. Phishing napadi koji oponašaju popularne aplikacije i usluge jedne su od najčešćih prijetnji s kojima se suočavaju svakodnevni korisnici, a lažno predstavljanje Signala dokumentirano je u više zemalja tijekom posljednje dvije godine.
Evo što njemački slučaj jasno pokazuje svakome tko za osjetljive komunikacije koristi šifrirano dopisivanje:
Kodovi za provjeru ključevi su vašeg računa. Nijedna legitimna usluga, uključujući Signal, neće vas nikada zamoliti da podijelite kod za provjeru putem poruke u chatu ili e-pošte. Ako vas netko za to zatraži, taj zahtjev je lažan — bez iznimke.
Povezani uređaji stvarna su površina napada. Povremeno pregledavanje uređaja povezanih s vašim Signal računom (koje se nalazi u Postavkama pod Povezani uređaji) traje oko trideset sekundi i može otkriti neovlašteni pristup prije nego što nastane značajna šteta.
Dvofaktorska autentifikacija dodaje smislenu prepreku. Signal nudi značajku Zaključavanje registracije, koja zahtijeva PIN prije nego što vaš račun može biti ponovo registriran na novom uređaju. Aktiviranje te značajke jedan je od najjednostavnijih i najučinkovitijih koraka koje možete poduzeti. Šire gledano, korištenje aplikacije za autentifikaciju umjesto SMS-a za 2FA na svim računima značajno povećava trošak preuzimanja računa za napadača.
Sigurnost uređaja jednako je važna kao i sigurnost aplikacije. Ako je uređaj na kojem se izvodi Signal kompromitiran putem zlonamjernog softvera ili fizičkim pristupom, enkripcija pruža minimalnu zaštitu. Redovno ažuriranje operativnih sustava, korištenje jakih PIN-ova ili biometrije za zaključavanje uređaja i izbjegavanje aplikacija instaliranih iz nepouzdanih izvora značajno smanjuje ovaj rizik.
Svjesnost na razini mreže je važna. Pristupanje osjetljivim računima putem nepouzdanih javnih mreža stvara dodatnu izloženost. Ugledna VPN usluga može smanjiti rizik od presretanja prometa kada niste na mreži kojom upravljate, iako je to samo jedan od slojeva, a ne potpuno rješenje.
Šira slika
Njemački phishing napad na Signal podsjetnik je da najjača enkripcija na svijetu ne može nadoknaditi nedostajuću kulturu sigurnosne svjesnosti. Kada su sofisticirani državni akteri spremni ulagati u strpljive, ciljane kampanje socijalnog inženjeringa usmjerene na zakonodavce i diplomate, obični korisnici koji rukuju osjetljivim osobnim ili poslovnim informacijama suočavaju se s istom prijetnjom — manje resursa, ali iste prirode.
Odgovor nije panika, niti napuštanje alata poput Signala, koji i dalje ostaje jedna od najsigurnijih dostupnih opcija za dopisivanje. Odgovor je izgradnja navika i slojevite obrane koje socijalnom inženjeringu otežavaju uspjeh. Pregledajte svoje povezane uređaje, aktivirajte zaključavanja registracije, neželjene zahtjeve za kodovima za provjeru tretirarajte kao automatske crvene zastavice i razmišljajte o svom sigurnosnom položaju kao o nizu preklapajućih mjera zaštite, a ne o jednoj aplikaciji koja obavlja sav posao.
