Phishingaanvallen met Signal-back-upsleutel richten zich op berichtenarchieven
Een nieuwe golf phishingaanvallen richt zich op Signal-gebruikers op een bijzonder effectieve manier: criminelen doen zich voor als Signal Support om mensen te verleiden hun back-upherstelsleutels te overhandigen, waardoor aanvallers volledige toegang krijgen tot de versleutelde berichtenarchieven van slachtoffers. De phishingcampagne met Signal-back-upsleutels legt een harde waarheid bloot over veilige berichtenapps: de technologie kan wiskundig onbreekbaar zijn, terwijl de mens die ervan gebruikmaakt volledig kwetsbaar blijft.
Dit is geen fout in Signal’s encryptie. Het is een herinnering dat social engineering consequent technische verdedigingen overtreft en dat zelfs de meest beveiligingsbewuste gebruikers kunnen worden verrast wanneer een betrouwbaar klinkende bron om inloggegevens vraagt.
Hoe de oplichting door imitatie van Signal Support werkt
De aanval volgt een bekend phishing-draaiboek, toegepast op een ongebruikelijk waardevol doelwit. Aanvallers nemen contact op met Signal-gebruikers via sms, sociale media of zelfs via Signal zelf, waarbij ze zich voordoen als medewerkers van Signal Support. De berichten presenteren het verzoek doorgaans als urgent, onder vermelding van accountverificatie, een beveiligingsprobleem of een noodzakelijke back-upmigratie.
Het doel is altijd hetzelfde: de 64-tekens tellende back-upherstelsleutel van het slachtoffer ontfutselen. De functie Veilige back-ups van Signal versleutelt berichtenarchieven met deze sleutel, die nooit wordt gedeeld met de servers van Signal zelf. Dat ontwerp is bedoeld om de privacy van gebruikers te beschermen. In deze context wordt het een risico, omdat de sleutel het enige is wat een aanvaller scheidt van een complete, leesbare kopie van iemands berichtengeschiedenis.
Zodra een aanvaller de herstelsleutel heeft, kan hij het back-uparchief zelfstandig downloaden en ontsleutelen. Verdere authenticatie is niet nodig. Het resultaat is volledige toegang tot elk bericht in het archief, inclusief contacten, groepsgesprekken en bijlagen, zonder dat het slachtoffer kan weten dat er toegang is verkregen.
Signal heeft publiekelijk bevestigd dat het nooit contact zal opnemen met gebruikers via telefoon, sms of sociale media, en dat het nooit zal vragen om een pincode of herstelsleutel. Dat beleid is duidelijk, maar het is gemakkelijk over het hoofd te zien in een overtuigend verwoord bericht.
Waarom een gestolen back-upsleutel gevaarlijker is dan een gehackt wachtwoord
De meeste mensen begrijpen dat een gestolen wachtwoord ernstig is. Minder mensen beseffen dat een gestolen back-upherstelsleutel erger kan zijn, omdat deze bijna elke moderne accountbeveiligingslaag omzeilt.
Wanneer een aanvaller een wachtwoord steelt, staat hij nog steeds voor mogelijke barrières: tweefactorauthenticatie, inlogwaarschuwingen, apparaatverificatie of accountvergrendelingen. Een back-upherstelsleutel bevat geen van deze controles. Het is een statische, cryptografische sleutel die gearchiveerde gegevens rechtstreeks ontsleutelt. De aanvaller hoeft je account, je telefoonnummer of je actieve sessie niet aan te raken. De schade wordt offline aangericht, in stilte en vaak zonder enige melding aan het slachtoffer.
Dit is waarom Signal-gebruikers steeds vaker worden gecompromitteerd op manieren die niets te maken hebben met de encryptie van de app. De encryptie is degelijk. Het probleem is wat er gebeurt wanneer gebruikers worden gemanipuleerd om de sleutels die deze beschermen prijs te geven.
Vergelijk dit met de aan Rusland gelinkte phishingcampagne die Duitse functionarissen via Signal viseerde. In dat geval gebruikten door de staat gesteunde actoren dezelfde basistechniek, namelijk zich voordoen als vertrouwde entiteiten om toegang te krijgen tot Signal-communicatie. De verfijning van de aanvaller verandert, maar de benutte kwetsbaarheid blijft constant: menselijk vertrouwen.
Wat deze aanvallen onthullen over het uitsluitend vertrouwen op versleutelde berichtenapps
De hardnekkigheid en effectiviteit van phishingaanvallen op Signal-back-upsleutels leggen een breder probleem bloot met hoe mensen denken over veilige communicatiemiddelen. Sterke encryptie creëert een gevoel van veiligheid dat zich niet altijd uitstrekt tot de omliggende beveiligingspraktijken.
Gebruikers die op Signal vertrouwen vanwege de encryptie ervan, zijn vaak minder kritisch op hun gewoonten voor accountbeheer, back-upinstellingen en hoe ze reageren op onverwachte ondersteuningsverzoeken. Dat gat is precies wat aanvallers benutten. De app wordt de hele beveiligingsstrategie, in plaats van één laag binnen een bredere aanpak.
Soortgelijke patronen zijn opgedoken bij andere berichtenplatforms. De WhatsApp-inloggegevensdump die miljoenen gebruikersgegevens blootlegde, volgde een vergelijkbare logica: de beveiligingsfuncties van het platform waren niet het zwakke punt. Gebruikersreferenties en accountbeheerpraktijken waren dat wel.
Dit betekent niet dat versleutelde berichtenapps niet de moeite waard zijn om te gebruiken. Dat zijn ze absoluut. Het betekent dat encryptie een vloer is, geen plafond, en dat gebruikers erbovenop beveiligingsgewoonten moeten opbouwen.
Praktische verdediging: MFA, VPN's en het herkennen van signalen van social engineering
Jezelf beschermen tegen phishing met Signal-back-upsleutels vereist zowel technische stappen als een verandering in hoe je reageert op ongevraagd contact.
Begin met je Signal-back-upinstellingen. Als je de functie Veilige back-ups van Signal gebruikt, behandel je 64-tekens tellende herstelsleutel dan als een hoofdwachtwoord: bewaar hem offline, op een veilige locatie en deel hem nooit met iemand, ongeacht hoe het verzoek wordt geformuleerd. Medewerkers van Signal zullen er nooit om vragen.
Schakel een Signal-pincode en registratievergrendeling in om ongeoorloofde herregistratie van je account op een nieuw apparaat te voorkomen. Dit beschermt je back-upsleutel niet rechtstreeks, maar het sluit een andere veelvoorkomende aanvalsvector.
Naast Signal specifiek, pas multifactorauthenticatie toe op accounts die zijn gekoppeld aan het telefoonnummer of e-mailadres dat aan je Signal-profiel is gekoppeld. Omdat Signal telefoonnummers gebruikt voor registratie, kan een SIM-swap-aanval of een gecompromitteerd telefoonnummer extra blootstelling creëren. Tokengebaseerde authenticatie voegt een zinvolle hindernis toe voor aanvallers die proberen accounts over te nemen via aangrenzende diensten.
Het gebruik van een VPN op netwerken buitenshuis voegt een extra beschermingslaag toe door je verkeer te maskeren en de zichtbaarheid van je apparaat en surfactiviteit te verminderen voor potentiële aanvallers die verkenningen uitvoeren vóór een gerichte phishingpoging.
De belangrijkste verdediging is echter scepsis tegenover ongevraagd contact. Elk bericht dat beweert van Signal Support te zijn en je vraagt om inloggegevens te verifiëren, een herstelsleutel te bevestigen of op een link te klikken om een accountprobleem op te lossen, moet standaard worden behandeld als een phishingpoging. Legitieme ondersteuningssystemen werken niet op deze manier.
Wat dit voor jou betekent
De phishingcampagne met Signal-back-upsleutels is een concrete herinnering dat geen enkel hulpmiddel, hoe goed ontworpen ook, gebruikers volledig beschermt die er geen gewoonten omheen hebben opgebouwd. De encryptie van Signal blijft sterk. Het risico zit in hoe de sleutels tot die encryptie worden beheerd en beschermd.
Neem nu de tijd om je Signal-instellingen te controleren, te bevestigen waar je back-upherstelsleutel is opgeslagen en je bredere accountbeveiliging te herzien. Deel dit bewustzijn met mensen in je netwerk die Signal gebruiken, vooral degenen die beveiligingsnieuws misschien niet op de voet volgen. Social engineering werkt het best tegen mensen die niet weten dat het eraan komt.
