俄罗斯被指控对德国官员发动Signal钓鱼攻击
德国已正式将一起复杂的钓鱼攻击活动归咎于俄罗斯国家支持的行为者。数百名高知名度目标的Signal账户遭到入侵，其中包括联邦部长、联邦议院议员及外交官。德国联邦检察官办公室已就此事启动正式间谍调查，将其定性为近年来针对德国政界人士最重大的国家支持网络入侵事件之一。
此次攻击并未破解Signal的加密机制，而是利用了一种远比加密更难修补的漏洞：人类的信任。
Signal钓鱼攻击的工作原理
攻击者冒充Signal客服人员，发送伪造消息诱导目标交出账户验证码。一旦获得验证码，黑客便可将受害者的Signal账户绑定至攻击者控制的设备，从而实时获得对私人对话和联系人列表的完全访问权限，全程无需破解该应用底层的任何加密算法。
这种技术被称为关联设备劫持，其危险性尤为突出——因为Signal在设计上并不要求用户在账户绑定后输入密码即可读取消息。一旦攻击者控制了一台关联设备，Signal在新闻记者、社会活动人士和政府官员中广受信赖的加密保护便形同虚设。
这里的教训并非Signal不安全，而是：无论一款安全工具设计得多么精良，都无法保护一个被欺骗而主动交出凭据的用户。
加密应用本身远远不够
此次攻击揭示了许多人——包括本应更为警觉的专业人士——在数字安全认知上的关键盲区。加密通讯应用保护的是传输中的数据，却无法防御社会工程攻击、终端设备被攻陷或账户层面的操控。
国家支持的威胁行为者，尤其是那些拥有大量资源和充足耐心的组织，往往将攻击目标锁定在人的层面，正是因为技术层面极难突破。说服某人交出一枚验证码，远比破解现代加密算法容易得多。
这正是安全专业人士始终倡导多层防御而非依赖单一工具的原因。每增加一层防护，攻击者就需要多克服一道障碍。实践中，大多数攻击者宁愿转向更容易的目标，也不愿将资源消耗在一个防御严密的目标上。
这对你意味着什么
阅读本文的大多数人并非德国联邦部长。但此次攻击活动中使用的战术并非高价值政府目标的专属。冒充热门应用和服务的钓鱼攻击是普通用户面临的最常见威胁之一，而Signal冒充攻击在过去两年中已在多个国家有据可查。
以下是德国案例为所有依赖加密通讯进行敏感沟通的用户所揭示的重要启示：
验证码是你账户的钥匙。 任何正规服务——包括Signal——都不会通过聊天消息或电子邮件要求你分享验证码。如果有人向你索要验证码，该请求必定是欺诈行为，毫无例外。
关联设备是真实存在的攻击面。 定期检查与你Signal账户绑定的设备（位于设置中的"关联设备"选项）只需约三十秒，却能在造成重大损失之前及时发现未经授权的访问。
双重认证能构建有效屏障。 Signal提供"注册锁定"功能，要求在新设备上重新注册账户时输入PIN码。启用此功能是你能采取的最简单且最有效的步骤之一。更广泛地说，在所有账户中使用身份验证器应用而非短信进行双重认证，能显著提高攻击者实施账户劫持的成本。
设备安全与应用安全同等重要。 如果运行Signal的设备通过恶意软件或物理接触被攻陷，加密保护将几乎形同虚设。保持操作系统更新、使用强设备PIN码或生物识别，并避免安装非官方渠道的应用，可大幅降低这一风险。
网络层面的安全意识同样重要。 在不受信任的公共网络上访问敏感账户会带来额外风险。当你不在自己掌控的网络环境中时，使用信誉良好的VPN可降低流量被截获的风险——但VPN只是多层防护之一，而非完整解决方案。
更宏观的视角
德国Signal钓鱼攻击事件再次提醒我们：世界上最强大的加密技术，也无法弥补安全意识文化的缺失。当老练的国家行为者愿意投入资源，对立法者和外交官实施有耐心、有针对性的社会工程攻击时，普通用户——那些处理敏感个人或职业信息的人——也面临着性质相同、规模稍小的同类威胁。
正确的回应不是恐慌，也不是放弃Signal这样的工具——它依然是目前最安全的通讯选项之一。正确的回应是养成习惯，建立多层防御，让社会工程攻击更难得逞。检查你的关联设备，启用注册锁定，将任何主动索要验证码的请求视为自动亮起的红色警报，并将你的安全防护理解为一系列相互叠加的保障措施，而非某款应用独力承担所有责任。
