Szyfrowanie Signala działa bez zarzutu. Celem ataków są jego użytkownicy.

Signal od dawna cieszy się opinią złotego standardu prywatnych wiadomości. Jego szyfrowanie end-to-end jest matematycznie niezawodne, kod jest open source, a protokół jest uznawany przez badaczy bezpieczeństwa na całym świecie. Kiedy więc pojawiły się doniesienia, że hakerzy powiązani z Rosją skutecznie przejmują konta Signala należące do prominentnych użytkowników, nasuwa się naturalne pytanie: czy Signal został zhakowany?

Krótka odpowiedź brzmi: nie. Szyfrowanie Signala nie zostało złamane. Złamano coś znacznie trudniejszego do naprawienia: ludzkie zaufanie.

Według doniesień atakujący prowadzą wyrafinowane kampanie phishingowe, nakłaniając użytkowników Signala do samodzielnego przyznania dostępu do swoich kont. Metoda polega zazwyczaj na fałszywych alertach bezpieczeństwa, które wyglądają przekonująco oficjalnie i skłaniają ofiary do powiązania nowego urządzenia z ich kontem. Gdy to nastąpi, atakujący otrzymuje na żywo lustrzane odbicie wiadomości ofiary w czasie rzeczywistym — bez dotykania serwerów Signala ani łamania choćby jednej linii szyfrowania.

To fundamentalna różnica. Aplikacja nie jest słabym ogniwem. Jest nim zachowanie użytkownika.

Jak atak naprawdę działa

Signal obsługuje legalną funkcję o nazwie powiązane urządzenia, która pozwala użytkownikom uzyskiwać dostęp do swojego konta jednocześnie z wielu telefonów lub komputerów. Atakujący wykorzystują tę funkcję, generując złośliwe kody QR lub linki, które po zeskanowaniu lub kliknięciu po cichu dodają urządzenie atakującego do konta ofiary.

Wiadomości phishingowe są zaprojektowane tak, by wywołać poczucie pilności. Mogą twierdzić, że konto użytkownika zostało przejęte, że musi on zweryfikować swoją tożsamość lub że aktualizacja zabezpieczeń wymaga natychmiastowego działania. Wartościowe cele działające pod presją częściej reagują pochopnie i rzadziej dokładnie analizują podejrzane żądanie.

Po powiązaniu urządzenia atakujący nie musi niczego odszyfrowywać. Po prostu odczytuje wiadomości w miarę ich napływania, w postaci zwykłego tekstu — tak jak każde inne legalnie powiązane urządzenie. Może również podszywać się pod ofiarę w trwających rozmowach, co niesie poważne konsekwencje dla dziennikarzy, aktywistów, prawników, urzędników państwowych i wszystkich innych osób prowadzących wrażliwą korespondencję.

Ten typ ataku bywa określany mianem ataku socjotechnicznego lub przejęcia konta poprzez autoryzowany dostęp. Nie wymaga żadnego exploita zero-day, naruszenia serwerów ani kryptograficznych sztuczek. Wymaga jedynie, by cel popełnił jeden błąd.

Co to oznacza dla Ciebie

Jeśli używasz Signala, bo zależy Ci na prywatności, te doniesienia nie powinny skłonić Cię do porzucenia aplikacji. Signal pozostaje jedną z najbardziej godnych zaufania platform komunikacyjnych dostępnych na rynku, a bazowe szyfrowanie nadal chroni wiadomości przed przechwyceniem podczas transmisji. Sytuacja ta jest jednak przypomnieniem, że szyfrowanie to tylko jedna warstwa bezpieczeństwa — nie całość.

Można to ująć tak: drzwi do sejfu są skuteczne tylko wtedy, gdy nikt nie przekazuje klucza atakującemu podającemu się za ślusarza.

Dla większości zwykłych użytkowników ryzyko związane z tą konkretną kampanią powiązaną z Rosją jest niskie. Opisywane cele to prominentne osoby — prawdopodobnie zaangażowane w wrażliwą działalność polityczną, wojskową lub dziennikarską. Jednak zastosowane taktyki nie są wyszukane. Ataki phishingowe wykorzystujące fałszywe alerty bezpieczeństwa są powszechne na każdej platformie, a funkcja powiązanych urządzeń nie jest unikalna dla Signala.

Dbający o prywatność użytkownicy na każdym poziomie ryzyka powinni traktować swoje aplikacje do wiadomości tak, jak specjaliści ds. bezpieczeństwa traktują każdy wrażliwy system: z wielowarstwową obroną i stałą czujnością.

Praktyczne kroki, by chronić swoje konto Signal

Oto, co możesz zrobić już teraz, by zmniejszyć swoje narażenie na atak:

Regularnie kontroluj powiązane urządzenia. Menu ustawień Signala pokazuje każde urządzenie aktualnie powiązane z Twoim kontem. Jeśli widzisz coś nieznajomego, usuń to natychmiast. Uczyń z tego rutynową kontrolę, a nie jednorazowe działanie.

Zachowuj głęboki sceptycyzm wobec alertów bezpieczeństwa. Legalne aplikacje rzadko wysyłają pilne wiadomości z prośbą o zeskanowanie kodu QR lub kliknięcie linku w celu weryfikacji konta. Traktuj każde takie żądanie jako podejrzane z definicji — nawet jeśli wygląda oficjalnie.

Włącz blokadę rejestracji Signala. Ta funkcja wymaga podania kodu PIN przed ponowną rejestracją konta na nowym urządzeniu. Utrudnia atakującym przejęcie konta.

Chroń samo urządzenie. Szyfrowanie Signala chroni wiadomości podczas transmisji. Jeśli Twój telefon jest odblokowany i trafi w niepowołane ręce lub zostanie zainfekowany złośliwym oprogramowaniem, ta ochrona przestaje działać. Silne hasła urządzenia, zabezpieczenia biometryczne i regularne aktualizacje systemu operacyjnego mają znaczenie.

Zadbaj o bezpieczeństwo swojej sieci. Dla użytkowników prowadzących naprawdę wrażliwą komunikację kierowanie ruchu przez renomowaną sieć VPN dodaje warstwę anonimowości, która utrudnia atakującym profilowanie Twojej aktywności, identyfikowanie Twojej lokalizacji lub przeprowadzanie rozpoznania, które często poprzedza ukierunkowany phishing. VPN nie chroni przed phishingiem, ale jest elementem wielowarstwowego podejścia, które zmniejsza ogólne narażenie.

Weryfikuj poza głównym kanałem. Jeśli otrzymasz podejrzaną wiadomość — nawet od znajomego kontaktu — potwierdź żądanie za pośrednictwem zupełnie innego kanału: przez rozmowę telefoniczną, bezpośrednią rozmowę lub inną aplikację, zanim podejmiesz jakiekolwiek działanie.

Lekcja płynąca z tych ataków phishingowych na Signal nie brzmi: szyfrowane wiadomości są bezużyteczne. Brzmi ona: żadne pojedyncze narzędzie nie stanowi kompletnego rozwiązania. Signal chroni Twoje wiadomości wyjątkowo skutecznie. Ochrona Twojego konta wymaga jednak czujności wobec sposobów, w jakie atakujący próbują obejść technologię — atakując bezpośrednio Ciebie, zamiast niej.