Attacco hacker a Signal: il codice numerico a cui fare attenzione

Una nuova campagna di phishing sta prendendo di mira gli utenti di Signal, l'app di messaggistica statunitense, per spiare e prendere il controllo dei dispositivi di persone che ricoprono ruoli strategici e di esponenti nel mondo dell'informazione. A renderlo noto è la stessa piattaforma che questo pomeriggio ha pubblicato una spiegazione ufficiale sui propri profili social per chiarire l'origine degli attacchi e rassicurare sulla sicurezza dell'app. "Siamo a conoscenza di recenti segnalazioni riguardanti attacchi di phishing mirati che hanno portato alla compromissione degli account di alcuni account di alcuni utenti, tra cui funzionari governativi e giornalisti", ha comunicato il team dell'app.

La società ha precisato di prendere la questione "molto seriamente", sottolineando però che non si tratta di una violazione ai propri sistemi, ma di una truffa di ingegneria sociale (social engineering) per indurre le vittime a consegnare spontaneamente le proprie credenziali d'accesso alle chat.

Come funziona la truffa di phishing di Signal

Signal è un'app di messaggistica che ha fatto della sicurezza e della tutela della privacy il suo punto di forza. Sviluppata da un'organizzazione no-profit (la Signal Foundation), la piattaforma è nata proprio con l'obiettivo di garantire comunicazioni riservate e inaccessibili da terzi, puntando su un modello opposto a quello delle grandi aziende Tech che invece basano buona parte del proprio business sulla raccolta e la gestione dei dati degli utenti. Ogni conversazione su Signal è protetta da una crittografia end-to-end che permette solo ai partecipanti della chat di accedere ai messaggi. Nemmeno la stessa azienda ha accesso al contenuto delle comunicazioni.

Gli attacchi delle ultime settimane non sfruttano dunque vulnerabilità tecniche dell'app ma cercano di manipolare gli utenti affinché siano loro stessi a consegnare ai malintenzionati le chiavi dei loro spazi digitali, condividendo informazioni sensibili come il codice di verifica ricevuto via SMS o il PIN del proprio account.

Gli aggressori, ha spiegato il team di Signal, si fingono contatti affidabili o fittizi servizi di assistenza. In alcuni casi viene citato un falso "Signal Support Bot" che chiede alle vittime di fornire i codici necessari per accedere all'account. Una volta ottenute le credenziali, gli aggressori possono registrare l'account su un altro dispositivo e prenderne il controllo.

L'ipotesi degli hacker russi

Signal non ha chiarito l'origine degli attacchi ma negli ultimi giorni i servizi d'intelligence olandesi hanno fatto sapere di una serie di tentativi di phishing (alcuni dei quali andati a buon fine) su Signal e WhatsApp nei confronti di funzionari dei Paesi Bassi e del Regno Unito ad opera di hacker russi manovrati da Mosca.

"I servizi olandesi ritengono inoltre che altre persone di interesse per il governo russo, come i giornalisti, possano essere prese di mira da questa campagna" si legge nella nota dell'AIVD, il Servizio Generale di Intelligence e Sicurezza olandese.

Secondo i servizi di intelligence olandesi, il crescente interesse della Russia per Signal sarebbe legato soprattutto alla reputazione dell'app. La piattaforma è infatti considerata uno strumento di comunicazione affidabile e indipendente, noto per l'uso della crittografia end-to-end che garantisce elevati livelli di riservatezza. Proprio per queste caratteristiche viene spesso utilizzata anche da istituzioni e governi per tutelare le comunicazioni interne. La presenza di conversazioni potenzialmente sensibili la rende dunque un obiettivo particolarmente appetibile per attori ostili interessati a sottrarre informazioni riservate.

"Nonostante la loro opzione di crittografia end-to-end, le app di messaggistica come Signal e WhatsApp non dovrebbero essere utilizzate come canali per informazioni classificate, riservate o sensibili", ha ricordato il direttore del MIVD, il viceammiraglio Peter Reesink.

Come difendersi: le raccomandazioni di Signal

Nel suo thread su X, Signal ha ricordato che i codici di verifica inviati via SMS servono solo al momento della prima registrazione all'app. Se qualcuno li richiede in un secondo momento, si tratta quasi sicuramente di una truffa. Non solo. Signal ha precisato che anche in caso di disservizi o esigenze particolari l'assistenza ufficiale non richiede mai PIN o codici di verifica via SMS. La società ha comunque fatto sapere di essere al lavoro per rafforzare ulteriormente le difese con miglioramenti nell'interfaccia e nuovi messaggi di avvertimento all'interno della stessa app.