FBI ve CISA, Rus istihbaratıyla bağlantılı hackerların Signal yedek kurtarma anahtarlarını çalarak geçmiş mesajları ele geçirdiği konusunda acil uyarı yayınladı.
Ne oldu?
Amerika Birleşik Devletleri Federal Soruşturma Bürosu (FBI) ve Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Rus devlet destekli siber aktörlerin Signal kullanıcılarını hedef alan yeni bir kimlik avı (phishing) kampanyası yürüttüğünü duyurdu. Yapılan ortak açıklamaya göre, özellikle devlet kurumları ve kritik altyapı sektörlerini hedef alan saldırganlar, Signal'in resmi destek ekiplerini taklit eden sahte mesajlarla kullanıcıları aldatıyor. Saldırının temel amacı, kullanıcıların şifreli mesaj geçmişlerini yeni cihazlarda geri yüklemelerine imkan tanıyan 64 karakterli "Yedek Kurtarma Anahtarlarını" (Backup Recovery Keys) ele geçirmek. Bu anahtarın çalınması, saldırganların kurbanların hem geçmiş sohbetlerine hem de dahil oldukları grup konuşmalarına kendi cihazları üzerinden doğrudan erişim sağlamasına yol açıyor.
Neden önemli?
Signal, uçtan uca şifreleme sunan en güvenli anlık mesajlaşma platformlarından biri olarak kabul ediliyor ve bu durum, onu özellikle gazeteciler, diplomatlar ve devlet görevlileri gibi hassas verilerle çalışan kişiler için vazgeçilmez kılıyor. Ancak bu yeni saldırı yöntemi, uygulamanın teknik altyapısını kırmak yerine insan hatasını ve sosyal mühendisliği hedef alıyor. Saldırganlar kurtarma anahtarını bir kez ele geçirdiklerinde, şifrelenmiş yedekleri kendi kontrol ettikleri cihazlara indirip açabiliyorlar. Bu durum, uçtan uca şifrelemenin sağladığı gizlilik korumasını tamamen işlevsiz hale getiriyor; çünkü anahtara sahip olan saldırgan, sistem tarafından meşru kullanıcı olarak algılanıyor. Dahası, ele geçirilen anahtarlar aynı telefon numarasıyla daha sonra oluşturulacak yeni hesapların da izlenmesine olanak tanıyarak uzun vadeli ve kalıcı bir casusluk tehdidi oluşturuyor.
Kim veya ne etkileniyor?
Bu kampanya birincil olarak diplomatlar, hükümet yetkilileri, askeri personel, gazeteciler ve muhalif figürler gibi yüksek profilli hedefleri hedef alsa da, Signal'in yedekleme özelliğini aktif olarak kullanan ve kimlik avı mesajlarına karşı dikkatsiz davranan tüm kullanıcılar potansiyel olarak risk altındadır. Siber güvenlik uzmanları, saldırıların arkasında Rus dış istihbarat servisleriyle bağlantılı olduğu değerlendirilen UNC5792 ve UNC4221 gibi gelişmiş kalıcı tehdit (APT) gruplarının bulunduğunu belirtiyor. Bu hacker gruplarının doğrudan bireysel kullanıcı hesaplarını ve bu hesapların bağlı olduğu mobil cihaz konfigürasyonlarını hedef alması, kurumsal savunma duvarlarının ötesinde, doğrudan bireysel siber hijyen açığı olan herkesi doğrudan etkilemektedir.
Ne yapılmalı?
Signal kullanıcılarının bu tehdide karşı alabileceği en etkili önlem, şüpheli durumlarda Signal ayarlarından yedek kurtarma anahtarını derhal sıfırlamak ve yeni bir anahtar oluşturmaktır; bu işlem saldırganların gelecekte yeni yedekleri indirmesini engeller. Kullanıcılar, Signal'in hiçbir zaman doğrudan mesaj yoluyla kurtarma anahtarı, PIN kodu veya doğrulama kodlarını talep etmeyeceğini unutmamalı ve bu tür taleplere asla yanıt vermemelidir. Ayrıca, Signal ayarlarındaki "Bağlı Cihazlar" listesi düzenli olarak kontrol edilmeli, yetkilendirilmemiş veya tanınmayan tüm aktif oturumlar derhal sonlandırılmalıdır. Son olarak, mesajlaşma güvenliğini en üst düzeye çıkarmak için kaybolan mesajlar özelliğinin aktif hale getirilmesi ve hassas verilerin cihazlarda uzun süre saklanmaması önerilmektedir.