Росію звинуватили у фішингових атаках на Signal проти німецьких чиновників
Німеччина офіційно приписала витончену фішингову кампанію російським державним акторам після того, як сотні резонансних цілей, зокрема федеральні міністри, члени Бундестагу та дипломати, мали скомпрометовані акаунти Signal. Федеральна прокуратура Німеччини порушила офіційне розслідування у справі про шпигунство, кваліфікувавши інцидент як один із найзначніших кібервторгнень за підтримки держави, спрямованих проти німецьких політичних діячів за останній час.
Атака не зламала шифрування Signal. Натомість вона використала дещо набагато складніше для усунення: людську довіру.
Як спрацювала фішингова атака на Signal
Зловмисники видавали себе за співробітників підтримки Signal, надсилаючи підроблені повідомлення, що спонукали цілі передати коди підтвердження своїх акаунтів. Отримавши ці коди, хакери могли прив'язати акаунти жертв до підконтрольних зловмисникам пристроїв, отримуючи повний доступ до приватних розмов і списків контактів — у режимі реального часу, не маючи жодної потреби зламувати базове шифрування застосунку.
Ця техніка відома як захоплення через прив'язаний пристрій, і вона особливо небезпечна, оскільки Signal за своєю конструкцією не вимагає пароля для читання повідомлень після прив'язки акаунту. Шифрування, що робить Signal настільки надійним серед журналістів, активістів і державних чиновників, фактично обходиться в ту мить, коли зловмисник отримує контроль над прив'язаним пристроєм.
Урок тут полягає не в тому, що Signal є небезпечним. А в тому, що жоден окремий інструмент безпеки, якою б досконалою не була його розробка, не може захистити користувача, якого обманом змусили передати свої облікові дані.
Чому зашифрованих застосунків самих по собі недостатньо
Ця атака ілюструє критичну прогалину в тому, як багато людей — зокрема фахівці, які повинні знати краще — мислять про цифрову безпеку. Застосунки для зашифрованого обміну повідомленнями захищають дані під час передачі. Вони не захищають від соціальної інженерії, скомпрометованих кінцевих точок або маніпуляцій на рівні акаунту.
Підтримувані державою суб'єкти загрози, зокрема ті, що мають значні ресурси й оперативну терплячість, як правило, атакують саме людський рівень, оскільки технічний рівень так важко подолати. Переконати когось передати код підтвердження значно простіше, ніж зламати сучасне шифрування.
Ось чому фахівці з безпеки постійно виступають за багаторівневий захист, а не за покладання на будь-який єдиний інструмент. Кожен додатковий рівень захисту змушує зловмисника долати ще одну перешкоду, і на практиці більшість зловмисників воліють переключитися на легші цілі, ніж витрачати ресурси на захищену.
Що це означає для вас
Більшість людей, які читають це, не є федеральними міністрами Німеччини. Але тактики, використані в цій кампанії, не є унікальними для резонансних урядових цілей. Фішингові атаки, що імітують популярні застосунки та сервіси, належать до найпоширеніших загроз, з якими стикаються звичайні користувачі, а видавання себе за Signal задокументоване в багатьох країнах протягом останніх двох років.
Ось що німецький випадок чітко свідчить для кожного, хто покладається на зашифровані повідомлення для конфіденційного спілкування:
Коди підтвердження — це ключі від вашого акаунту. Жоден легітимний сервіс, зокрема Signal, ніколи не попросить вас поділитися кодом підтвердження через повідомлення в чаті або електронну пошту. Якщо хтось просить ваш код — такий запит є шахрайським, крапка.
Прив'язані пристрої є реальною поверхнею атаки. Періодична перевірка пристроїв, прив'язаних до вашого акаунту Signal (знаходиться в Налаштуваннях у розділі «Прив'язані пристрої»), займає близько тридцяти секунд і може виявити несанкціонований доступ до того, як буде завдано значної шкоди.
Двофакторна автентифікація додає суттєвий бар'єр. Signal пропонує функцію «Блокування реєстрації», яка вимагає PIN-код перед тим, як ваш акаунт можна буде повторно зареєструвати на новому пристрої. Її увімкнення — один із найпростіших і найефективніших кроків, які ви можете зробити. Ширше кажучи, використання застосунку-автентифікатора замість SMS для двофакторної автентифікації в усіх акаунтах суттєво підвищує вартість захоплення акаунту для зловмисника.
Безпека пристрою не менш важлива, ніж безпека застосунку. Якщо пристрій, на якому працює Signal, скомпрометований через шкідливе програмне забезпечення або фізичний доступ, шифрування забезпечує незначний захист. Підтримання актуальності операційних систем, використання надійних PIN-кодів або біометрії на пристроях, а також уникнення завантажених в обхід магазину застосунків суттєво знижують цей ризик.
Обізнаність на мережевому рівні має значення. Доступ до конфіденційних акаунтів через ненадійні публічні мережі створює додаткову вразливість. Надійний VPN може знизити ризик перехоплення трафіку, коли ви не перебуваєте в мережі під своїм контролем, хоча це лише один рівень серед кількох, а не повноцінне рішення.
Ширша картина
Фішингова атака на Signal у Німеччині нагадує, що найпотужніше шифрування у світі не може компенсувати відсутність культури безпекової обізнаності. Коли витончені державні актори готові вкладати кошти в терплячі, цілеспрямовані кампанії соціальної інженерії проти законодавців і дипломатів, звичайні користувачі, які обробляють конфіденційну особисту або професійну інформацію, стикаються з аналогічною, хоча й менш ресурсномісткою, версією тієї самої загрози.
Відповіддю є не паніка і не відмова від таких інструментів, як Signal, який залишається одним із найбезпечніших варіантів обміну повідомленнями. Відповіддю є формування звичок і багаторівневого захисту, що ускладнюють соціальну інженерію. Перевіряйте прив'язані пристрої, вмикайте блокування реєстрації, сприймайте небажані запити на отримання кодів підтвердження як автоматичні тривожні сигнали і розглядайте свою безпеку як серію перекриваючих засобів захисту, а не як єдиний застосунок, що виконує всю роботу.
