Agencje cyberbezpieczeństwa, w tym CISA i FBI, wydały ostrzeżenie przed wielkoskalową kampanią phishingową wymierzoną w użytkowników komercyjnych komunikatorów (commercial messaging applications, CMA), takich jak WhatsApp i Signal.
Kampania jest powiązana z aktorami zagrożeń związanymi z rosyjskim wywiadem i doprowadziła już do przejęcia tysięcy kont na całym świecie.
Kto jest celem?
To nie jest typowa masowa kampania phishingowa.
Atakujący koncentrują się na osobach o wysokiej wartości, w tym:
- urzędnikach państwowych (obecnych i byłych)
- personelu wojskowym
- postaciach ze świata polityki
- dziennikarzach
- liderach biznesu
Cel jest jasny:
👉 uzyskać dostęp do poufnej komunikacji i sieci zaufania
Jak działa atak
W przeciwieństwie do wielu cyberataków ta kampania nie wykorzystuje luk w zabezpieczeniach WhatsApp ani Signal.
Opiera się natomiast w całości na inżynierii społecznej.
Ofiary otrzymują wiadomości, w których mowa o:
- podejrzanej aktywności logowania
- alertach dotyczących bezpieczeństwa konta
- prośbach od „Signal Support” lub podobnych zaufanych podmiotów
Wiadomości te wywołują poczucie pilności i nakłaniają użytkowników do:
- klikania złośliwych linków
- skanowania kodów QR
- udostępniania kodów weryfikacyjnych lub kodów PIN
Dwa scenariusze ataku
1. Kradzież kodu weryfikacyjnego / PIN-u
Jeśli ofiara udostępni kod weryfikacyjny lub PIN:
- atakujący przejmuje konto
- ofiara traci dostęp
- atakujący może podszywać się pod ofiarę i wysyłać wiadomości do innych
2. Złośliwe łączenie urządzeń
Jeśli ofiara kliknie link lub zeskanuje kod QR:
- atakujący łączy z kontem własne urządzenie
- uzyskuje dostęp do dotychczasowych i przyszłych wiadomości
- ofiara może pozostawać nieświadoma i nadal korzystać z konta
👉 To groźniejszy scenariusz, ponieważ umożliwia niezauważoną inwigilację
Dlaczego to niebezpieczne
Po uzyskaniu dostępu do konta atakujący mogą:
- czytać prywatne rozmowy
- uzyskiwać dostęp do list kontaktów
- wysyłać wiadomości w imieniu ofiary
- przeprowadzać wtórne ataki phishingowe z wykorzystaniem relacji opartych na zaufaniu
Pojedyncze przejęcie zamienia się w ten sposób w atak łańcuchowy w sieciach zaufania.
Skoordynowana kampania globalna
Choć nie została oficjalnie przypisana jednej grupie, podobną aktywność powiązano z:
- Star Blizzard
- UNC5792 (UAC-0195)
- UNC4221 (UAC-0185)
Agencje europejskie, w tym francuska ANSSI, również zgłaszały wzrost liczby podobnych ataków wymierzonych w osoby publiczne o dużym znaczeniu.
Jak się chronić
1. Nigdy nie udostępniaj kodów weryfikacyjnych
Komunikatory nigdy nie poproszą Cię o kod ani PIN w wiadomościach
2. Zachowaj ostrożność wobec pilnych alertów
Wiadomości o bezpieczeństwie wywołujące panikę to częsta taktyka phishingowa
3. Unikaj nieznanych linków i kodów QR
Zwłaszcza tych, które twierdzą, że „zabezpieczają” lub „weryfikują” Twoje konto
4. Regularnie sprawdzaj połączone urządzenia
Sprawdź, czy do Twojego konta nie są podłączone nieznane urządzenia, i usuń je
5. Zrozum, jak działa wsparcie techniczne
Na przykład:
👉 Signal nigdy nie kontaktuje się z użytkownikami z własnej inicjatywy, aby prosić o dane uwierzytelniające
Najważniejszy wniosek
Ta kampania pokazuje kluczową zmianę:
Największym zagrożeniem nie jest już łamanie szyfrowania — lecz obejście użytkownika.
Nawet najbezpieczniejsze platformy mogą zostać przejęte, jeśli atakującym uda się skutecznie manipulować ludzkim zachowaniem.
