Signal advierte sobre una nueva campaña de phishing dirigida a las copias de seguridad de chats

Los hackers están llevando a cabo una campaña de piratería que utiliza un mensaje malicioso para suplantar al soporte de Signal, intentando engañar a los usuarios para que entreguen sus claves de recuperación de respaldo. El miércoles, el analista del Washington Post, Josh Rogin, publicó una captura de pantalla del ataque, que mostraba un mensaje de una cuenta suplantada llamada Signal Support. El mensaje advertía al objetivo sobre un problema de sincronización, alegando que el paso vincula la copia de seguridad existente a la cuenta y que no hacerlo podría resultar en la pérdida de acceso a la cuenta y a todos los datos almacenados. Rogin señaló que varios activistas contrarios al Partido Comunista Chino recibieron este mensaje malicioso.

Aunque los informes iniciales vinculaban estos objetivos de phishing con activistas chinos, los investigadores de seguridad señalan que la campaña podría ser más extensa. Mohammed Al-Maskati, director de la Línea de Ayuda de Seguridad Digital de Access Now —una organización que investiga ciberataques contra periodistas y activistas— declaró que dos personas ajenas a ese grupo compartieron mensajes similares con él. Al-Maskati indicó que la campaña de piratería podría ser más extensa y estar dirigida a otras comunidades más allá de los activistas contrarios al Partido Comunista Chino, o que podría haber diferentes grupos de hackers utilizando la misma estrategia.

El ataque marca un cambio respecto a campañas anteriores. Históricamente, los atacantes intentaban secuestrar cuentas volviendo a registrar el número de teléfono de la víctima en un nuevo dispositivo. Para evitar esto, Signal ofrece Registration Lock, una configuración de seguridad para prevenir la vinculación no autorizada de dispositivos al requerir un PIN. Sin embargo, secuestrar una cuenta no otorga acceso a mensajes pasados. Para acceder a chats antiguos, los hackers deben atacar Secure Backups, una función de almacenamiento en la nube cifrado lanzada el año pasado que permite a los usuarios subir el contenido de su cuenta a los servidores de Signal. Descifrar estas copias de seguridad requiere una clave de recuperación única.

Signal, la aplicación de mensajería cifrada, sostiene que nunca contactará a los usuarios primero, ni solicitará códigos de registro, PINs o claves de recuperación. La presidenta de Signal, Meredith Whittaker, declaró que la organización está trabajando en medidas de mitigación y monitoreando la situación. La organización advirtió públicamente sobre este tipo exacto de ataque el mes pasado. Signal enfatiza que la clave de recuperación nunca se comparte con sus servidores y nunca sale del dispositivo del usuario. Según la organización: “Sin su clave de recuperación única, nadie (incluyendo a Signal) puede leer, descifrar o restaurar ninguno de los datos en su Archivo de Copia de Seguridad Segura”.

Por qué importa

Esta campaña marca un cambio táctico: los atacantes están yendo más allá del simple secuestro de cuentas para atacar las copias de seguridad cifradas, que contienen datos históricos sensibles como chats antiguos y fotos.