Фишинг добрался до резервных копий Signal: теперь у пользователей выманивают ключ от всей истории переписки

Пользователей Signal начали атаковать через новую фишинговую схему: злоумышленники выманивают ключ восстановления резервной копии. Этот ключ нужен для доступа к Secure Backups — защищённым резервным копиям сообщений и медиа. Если человек сам отправляет ключ атакующему, тот может восстановить архив переписок на своём устройстве и прочитать старые личные и групповые чаты.

Атака работает так: пользователя убеждают самому включить резервное копирование, открыть recovery key, скопировать его и отправить в чат, который маскируется под поддержку Signal. При краже backup recovery key он может получить исторический архив — то, что уже лежит в зашифрованной резервной копии.

Ранние фишинговые кампании против Signal чаще строились вокруг кодов подтверждения, PIN-кодов и привязки устройств. Пользователю присылали сообщение от имени «поддержки» или «службы безопасности», просили пройти проверку и заставляли выполнить действия, которые добавляли устройство атакующего к аккаунту.

В новой версии атакующий хочет получить ключ к резервной копии. Схема выглядит так. Сначала жертве приходит сообщение, которое выглядит как уведомление от поддержки Signal. В нём говорится о якобы обязательной двухфакторной проверке, обновлении правил безопасности или риске потерять сообщения из-за проблем синхронизации. Затем пользователя проводят по инструкции: зайти в настройки, включить резервные копии, открыть ключ восстановления, скопировать его и отправить обратно «для подтверждения».

Backup Recovery Key — это секретный ключ, который создаётся на устройстве пользователя при настройке защищённой резервной копии Signal. Он нужен, чтобы восстановить зашифрованный архив сообщений и медиа.

Signal Secure Backups устроены так, чтобы сам сервис не мог прочитать содержимое резервной копии. Данные хранятся в зашифрованном виде. Доступ к ним даёт только recovery key. Если ключ потерян, Signal не сможет восстановить его за пользователя.