Nieudany atak na Signal. Twórcy komunikatora zareagowali natychmiastowo

Niezidentyfikowany haker uzyskał dostęp do konsoli obsługi klienta Twilio za pośrednictwem phishingu. To serwis weryfikujący numery telefonów użytkowników, z którego korzysta Signal. Sprawa dotyczy 1900 użytkowników, których numery telefonów mogły zostać ujawnione jako zarejestrowane na koncie Signal. Atak mógł także doprowadzić do sytuacji, w której atakujący uzyskał dostęp do kodu weryfikacyjnego dla konkretnego numeru.

W czasie kiedy atakujący miał dostęp do systemów obsługi klienta Twilio możliwe było, że próbował zarejestrować udostępnione numery telefonów na innym urządzeniu za pomocą pozyskanego kodu weryfikacyjnego SMS. Haker nie ma już dostępu do systemów, Twillo skutecznie odcięło mu dostęp . Spośród wszystkich 1900 numerów, trzy przypadki które udało się potwierdzić. Z czego jeden został zgłoszony przez użytkownika komunikatora, który poinformował pomoc techniczną o ponownej rejestracji numeru w aplikacji.

Reakcja ekipy z Signala była natychmiastowa. Wszystkie osoby, które potencjalnie mogły zostać celem ataku zostały automatycznie wyrejestrowane z komunikatora. Muszą oni ponownie przejść proces rejestracji na tym samym urządzeniu - bez obaw o odzyskanie przechowywanym na nim danych. Twórcy potwierdzają, że kontaktują się ze wszystkimi pokrzywdzonymi wysyłając im informację drogą SMS-ową.

Nieudany atak na użytkowników Signala. Twórcy komunikatora zareagowali natychmiastowo

Twórcy komunikatora zastrzegają jednak, że do żadnego wycieku danych użytkowników Signala nie doszło. W swoim wpisie na Twitterze podkreślają, że osobie przeprowadzając atak nie udało się uzyskać dostępu do historii wiadomości, informacji o profilu i liście kontaktów. Komunikator przechowuje rozmowy tylko lokalnie. Nie są one wysyłane na serwery. Są też niedostępne w kopiach trzymanych w chmurze. Informacje o profilu i liście kontaktów powiązane są z PIN-em, który jest potrzebny do uzyskania do nich dostępu. A tego haker zdobyć nie mógł - wszystkie informacje o kodzie przechowywane są lokalnie i Signal nie ma do niego wglądu.

Czytaj dalej poniżej

Jesteś w stanie płacić 27 zł miesięcznie za komunikator? Telegram Premium to sprawdzi Piotr Kurek

Komunikator obiecywał użytkownikom bezpieczeństwo. Nie wyszło - wyciekły gigabajty wrażliwych danych Kamil Świtalski

Przypominają jednocześnie by korzystać z dostępnych w aplikacji dodatkowych zabezpieczeń. Największą uwagę zwracają na funkcję "Blokada rejestracji" dostępną z poziomu ustawień konta. Opcja ta sprawia, że każda próba zalogowania i rejestrowania numeru na nowym urządzeniu wymagać będzie dodatkowo podania ustalonego wcześniej PIN-u. Warto z tej funkcji korzystać - podobnie jak i samego PIN-u, który ma być gwarancją na to, że informacje przechowywane w komunikatorze są szyfrowane. Signal zapewnia, że tylko właściciel konta ma dostęp do danych przechowywanych w aplikacji.

Warto jednak pamiętać, że zapomnienie PIN-u sprawia, że nie będzie można go odzyskać i równa się potencjalną utratą danych. Pamiętając PIN przy kolejnych rejestracjach na innych urządzeniach, profil, ustawienia i kontakty zostaną przywrócone. PIN nie gwarantuje także przeniesienia wszystkich wiadomości. Historie rozmów nie są powiązana z kodem i nie można go wykorzystywać do przywrócenia konwersacji. Przenoszenie rozmów wymaga obecności dwóch urządzeń - tego, z którego przenoszona będzie historia, oraz docelowego, na którym czaty mają się pojawić. Więcej na temat kopii zapasowych wiadomości Signal znajdziecie na stronach pomocy technicznej.