Шифрование Signal в порядке. Цель атак — пользователи.
Signal давно заслужил репутацию золотого стандарта приватных переписок. Его сквозное шифрование математически надёжно, код открыт, а протокол пользуется доверием исследователей безопасности по всему миру. Поэтому когда появились сообщения о том, что хакеры, связанные с Россией, успешно взламывают аккаунты Signal известных пользователей, возникает закономерный вопрос: взломали ли сам Signal?
Короткий ответ — нет. Шифрование Signal не было взломано. Взломано было нечто гораздо более трудноисправимое: человеческое доверие.
Согласно имеющимся сведениям, злоумышленники используют изощрённые фишинговые кампании, чтобы обманом вынудить пользователей Signal самостоятельно предоставить доступ к своим аккаунтам. Метод, как правило, основан на поддельных уведомлениях безопасности, выглядящих убедительно официально: жертву подталкивают к привязке нового устройства к её аккаунту. После этого злоумышленник получает живое зеркало сообщений жертвы в режиме реального времени — не касаясь серверов Signal и не взламывая ни единой строки шифрования.
Это принципиальное различие. Уязвимость — не в приложении. Уязвимость — в поведении пользователя.
Как именно работает атака
Signal поддерживает легитимную функцию — связанные устройства, — позволяющую пользователям одновременно получать доступ к аккаунту с нескольких телефонов или компьютеров. Злоумышленники эксплуатируют эту функцию, генерируя вредоносные QR-коды или ссылки, при сканировании или нажатии которых устройство атакующего незаметно добавляется к аккаунту жертвы.
Фишинговые сообщения намеренно создают ощущение срочности. Они могут утверждать, что аккаунт пользователя скомпрометирован, что необходимо подтвердить личность или что обновление безопасности требует немедленных действий. Ценные цели, находящиеся под давлением, с большей вероятностью действуют быстро и с меньшей вероятностью тщательно проверяют запрос.
После привязки устройства злоумышленнику не нужно ничего расшифровывать. Он просто читает сообщения по мере их поступления — в виде обычного текста, точно так же, как любое легитимное связанное устройство. Он также может выдавать себя за жертву в текущих переписках, что несёт серьёзные последствия для журналистов, активистов, юристов, государственных чиновников и всех остальных, кто ведёт конфиденциальные переговоры.
Подобный стиль атаки иногда называют атакой с использованием социальной инженерии или захватом аккаунта через авторизованный доступ. Он не требует эксплойта нулевого дня, взлома серверов или криптографического волшебства. Он требует лишь одной ошибки со стороны жертвы.
Что это означает для вас
Если вы используете Signal, потому что заботитесь о конфиденциальности, эта новость не должна заставить вас отказаться от приложения. Signal по-прежнему остаётся одной из наиболее надёжных платформ для обмена сообщениями, а базовое шифрование продолжает защищать сообщения от перехвата при передаче. Тем не менее эта ситуация напоминает о том, что шифрование — лишь один из уровней системы безопасности, а не вся система целиком.
Представьте это так: бронированная дверь эффективна лишь до тех пор, пока кто-то не передаёт ключ злоумышленнику, который представляется слесарем.
Для большинства рядовых пользователей риск от этой конкретной российской кампании невысок. Сообщается, что её цели — известные люди, предположительно вовлечённые в деликатную политическую, военную или журналистскую деятельность. Однако используемые тактики не являются экзотическими. Фишинговые атаки с использованием поддельных уведомлений безопасности широко распространены на всех платформах, а функция связанных устройств не является уникальной для Signal.
Пользователи, заботящиеся о конфиденциальности, при любом уровне риска должны относиться к своим мессенджерам так же, как специалисты по безопасности относятся к любой чувствительной системе: с многоуровневой защитой и постоянной бдительностью.
Практические шаги для защиты вашего аккаунта Signal
Вот что вы можете сделать прямо сейчас, чтобы снизить свою уязвимость:
Регулярно проверяйте список связанных устройств. В меню настроек Signal отображаются все устройства, в данный момент привязанные к вашему аккаунту. Если вы видите что-то незнакомое — немедленно удалите это. Сделайте такую проверку регулярной привычкой, а не разовым действием.
Относитесь с крайним скептицизмом к уведомлениям безопасности. Легитимные приложения редко присылают срочные сообщения с просьбой сканировать QR-код или перейти по ссылке для подтверждения аккаунта. По умолчанию воспринимайте любой подобный запрос как подозрительный, даже если он выглядит официально.
Включите блокировку регистрации Signal. Эта функция требует ввода PIN-кода перед повторной регистрацией аккаунта на новом устройстве. Она создаёт дополнительное препятствие для злоумышленников, пытающихся захватить аккаунт.
Защитите само устройство. Шифрование Signal защищает сообщения при передаче. Если ваш телефон разблокирован и передан кому-то постороннему или заражён вредоносным ПО — эта защита перестаёт работать. Надёжные пароли для устройства, биометрические блокировки и своевременное обновление операционной системы — всё это важно.
Уделите внимание общей сетевой безопасности. Для пользователей, ведущих по-настоящему конфиденциальные переговоры, маршрутизация трафика через надёжный VPN добавляет уровень анонимности, который затрудняет злоумышленникам составление профиля вашей активности, определение вашего местоположения или проведение разведки, которая нередко предшествует целевому фишингу. VPN не защищает от фишинга, но является частью многоуровневого подхода, снижающего общую уязвимость.
Подтверждайте информацию по независимому каналу. Если вы получили подозрительное сообщение даже от известного контакта — прежде чем предпринимать какие-либо действия, подтвердите запрос через совершенно другой канал: по телефону, при личной встрече или через другое приложение.
Урок этих фишинговых атак на Signal состоит не в том, что зашифрованные мессенджеры бесполезны. Он состоит в том, что ни один инструмент не является исчерпывающим решением. Signal исключительно хорошо защищает ваши сообщения. Защита вашего аккаунта требует, чтобы вы оставались бдительны к способам, которыми злоумышленники пытаются полностью обойти технологию — атакуя вас лично, а не её.
