La Oficina Federal para la Protección de la Constitución y la Oficina Federal de Seguridad de la Información de Alemania advirtieron que actores vinculados a los estados están atacando cuentas de alto perfil en Signal, el servicio de mensajería cifrada. Los resultados provienen de un informe conjunto de las dos autoridades de seguridad alemanas sobre amenazas contra figuras políticas, periodistas, activistas y otras personas de contacto público.
Las agencias afirmaron que los atacantes intentan acceder a las cuentas manipulando los procesos de autenticación en lugar de romper el cifrado de Signal. Los métodos reportados incluyen mensajes de phishing, ingeniería social e intentos de engañar a los usuarios para que compartan códigos de registro o verificación vinculados a sus cuentas.
Según las autoridades alemanas, algunos ataques implican mensajes o llamadas falsas que parecen provenir de contactos o proveedores de servicios de confianza. Estos mensajes piden a los objetivos que proporcionen códigos sensibles al tiempo o que sigan instrucciones de inicio de sesión. Si se comparte un código, los atacantes pueden registrar el número de teléfono de la víctima en otro dispositivo y tomar el control de la cuenta.
El informe señala que estas campañas se centran en individuos cuyas comunicaciones pueden tener valor político o informativo. Los objetivos incluyen a personas involucradas en el gobierno, los medios de comunicación, la sociedad civil y los asuntos internacionales. Las agencias no nombraron públicamente a víctimas específicas.
Signal utiliza cifrado de extremo a extremo para que los mensajes solo puedan ser leídos por el remitente y el destinatario. Las autoridades alemanas afirmaron que los ataques observados no rompen este cifrado, sino que explotan las funciones de confianza de los usuarios y de recuperación de cuentas. En este modelo, el punto más débil es la gestión de las credenciales de autenticación.
La Oficina Federal de Seguridad de la Información aconsejó a los usuarios tratar los códigos de verificación como confidenciales y no compartirlos con nadie. También recomendaba habilitar una seguridad adicional en los dispositivos, como bloqueos de pantalla, y mantener el software actualizado. La Oficina Federal para la Protección de la Constitución afirmó que la conciencia sobre las tácticas de ingeniería social es importante para las personas en cargos sensibles.
Las agencias describieron la actividad como parte de esfuerzos más amplios en materia de ciberseguridad e inteligencia por parte de actores estatales extranjeros. Afirmaron que estas operaciones suelen combinar métodos técnicos y psicológicos para acceder a las comunicaciones.
No se reportaron debilidades en el cifrado central de Signal en relación con estos incidentes. La advertencia se centra en el compromiso a nivel de cuenta mediante el engaño en lugar de fallos en el protocolo de mensajería.