Phishing to Signal utilisateurs vole la clé de récupération

L'alerte publique conjointe du FBI et de la CISA sur une campagne d'hameçonnage pour les utilisateurs de signal représente une évolution remarquable de la tactique : il ne s'agit plus seulement de voler des codes de vérification ou de relier des appareils, mais d'inciter les victimes à livrer leur Récupération de sauvegarde Clé, la clé pour déchiffrer la sauvegarde protégée dans le nuage de Signal.

Les responsables, imputables par les agences aux services de renseignement russes et identifiés publiquement comme UNC5792 et UNC4221 Ils ont axé leurs messages sur des personnes de haut intérêt : fonctionnaires, militaires, journalistes et personnalités politiques, en particulier avec des liens avec l'Ukraine. L'ingénierie sociale utilisée simule les communications officielles du support Signal, revendiquant des changements de sécurité ou la perte de données pour justifier l'utilisateur de copier et coller sa clé de récupération.

Il est important de comprendre le vecteur technique derrière la tromperie: Signal offre une sauvegarde cryptée dont le chiffrement est lié à une clé de récupération générée par l'utilisateur; quiconque obtient cette clé peut restaurer et lire l'historique du message même s'il n'a pas compromis la protection de bout en bout en transit. Signal a expliqué la conception de cette fonction sur son blog officiel: Introduction aux sauvegardes sécurisées.

Les implications sont claires et dangereuses: la confidentialité historique des conversations cesse de dépendre uniquement du canal de messagerie et passe par le secret de la clé de sauvegarde. Générer une nouvelle clé invalide pour les téléchargements futurs, mais n'empêche pas un attaquant déjà en possession de la clé de télécharger et de conserver des copies des sauvegardes. Le FBI note cette clarification dans son avis public : FBI PSA sur la campagne.

D'un point de vue pratique, les attaquants utilisent un modèle stable : premier message qui demande de créer ou d'activer une sauvegarde, deuxième message qui simule un problème de synchronisation et demande littéralement que l'utilisateur colle la clé au chat pour « récupérer » les données. Ce geste est la livraison volontaire de la clé qui permet de déchiffrer hors du contrôle du propriétaire.

Pour les utilisateurs et les équipements de sécurité, la recommandation est double : mesures techniques et habitudes opérationnelles. En termes techniques, envisager de désactiver la sauvegarde du cloud si vous communiquez des informations extrêmement sensibles, ou du moins protéger l'appareil avec un verrouillage fort et ne pas stocker la clé dans un texte clair. En termes opérationnels, ne partagez jamais de codes ou de clés par chat, vérifiez les communications de soutien par les canaux officiels et enregistrez immédiatement toute activité suspecte dans les comptes connexes.

Si vous soupçonnez que votre clé a été compromise, générer une nouvelle clé de sauvegarde à partir des options de Signal et supposer que toute sauvegarde précédente peut avoir été téléchargée par des tiers ; changer le numéro pas automatiquement invalide anciennes clés. De plus, examinez les appareils liés à Signal et fermez des sessions inconnues, et lancez des contrôles supplémentaires sur l'appareil (verrouillage d'écran fort, chiffrement de l'appareil et applications minimales avec accès au presse-papiers).

Les organisations devraient compléter ces recommandations par une formation spécifique sur l'hameçonnage ciblé, des simulations d'attaques pour mesurer la résilience et des procédures d'intervention qui comprennent la notification aux autorités. Les victimes ou les organisations qui détectent des incidents devraient le signaler au FBI IC3 ou à la CISA, par exemple au moyen du formulaire d'intervention de la CISA et des rapports d'incident : CISA Déclaration des incidents et envisager de contacter le bureau régional du FBI pour enquête.

Enfin, cette campagne rappelle que la sécurité réelle associe une cryptographie robuste à des pratiques humaines prudentes : le meilleur chiffrement peut être renversé par un message convaincant. Le maintien de la position de sécurité nécessite de réduire la surface de la tromperie (moins de copies dans le nuage si possible), de vérifier l'authenticité des demandes sensibles et de traiter les clés de récupération comme des informations critiques qui ne devraient jamais être partagées.