أصدرت مكتب التحقيقات الفيدرالي (FBI) ووكالة الأمن السيبراني والبنية التحتية (CISA) تحديثًا لتحذيرهما السابق الصادر في مارس الماضي بشأن حملات التصيّد التي تستهدف حسابات تطبيق Signal، حيث أضاف المهاجمون خطوة جديدة أكثر خطورة: إقناع الضحايا بتسليم مفتاح استعادة النسخ الاحتياطية (Backup Recovery Key) الخاص بهم.
خطورة الاستيلاء على مفتاح الاستعادة
بمجرد أن يحصل المهاجم على المفتاح، يمكنه استعادة النسخة الاحتياطية للحساب، وقراءة سجل الرسائل الخاصة والجماعية، والسيطرة الكاملة على الحساب. الأخطر أن المفتاح يظل صالحًا حتى بعد إنشاء حساب جديد بنفس رقم الهاتف، ما يعني أن الخطر يستمر ما لم يقم المستخدم بإنشاء مفتاح جديد من إعدادات التطبيق، وهو الإجراء الوحيد الذي يُبطل صلاحية المفتاح القديم.
الجهات المتورطة والأهداف المستهدفة
التقرير الجديد، الذي يحمل الرمز PSA I-062626-PSA، أشار إلى مجموعتين تحملان أسماء تتبع عامة: UNC5792 وUNC4221، وربط النشاط بعدة أجهزة استخبارات روسية، بما في ذلك ضباط من جهاز FSB وحرس الحدود، إضافة إلى عناصر مرتبطة بالخدمات العسكرية الروسية. الحملة تستهدف حسابات ذات قيمة استخباراتية عالية، مثل مسؤولين حكوميين حاليين وسابقين في الولايات المتحدة ودول أخرى، شخصيات سياسية، صحفيين، وعسكريين، خاصة في أوكرانيا. التحذير السابق في مارس أكد أن آلاف الحسابات قد تم اختراقها بالفعل حول العالم.
أساليب التصيّد وتطورها
في الموجات السابقة، كان المهاجمون يطلبون رموز التحقق عبر الرسائل القصيرة أو أرقام التعريف الشخصية (PIN)، أو يستخدمون روابط دعوات جماعية مزيفة لربط أجهزة المهاجمين بالحسابات. أما النسخة الجديدة من الهجوم، فتقوم بخداع الضحية لتفعيل النسخ الاحتياطية، ثم فتح مفتاح الاستعادة ونسخه داخل المحادثة مع “دعم سيغنال” المزيف. النصوص المزيفة التي عرضها التحذير تضمنت رسائل توحي بأنها جزء من تفعيل إلزامي لخاصية التحقق الثنائي، أو كإجراء عاجل لإنقاذ الرسائل من فقدان مزعوم.
تحذيرات دولية ومكافآت مالية
التحذير الأمريكي يتقاطع مع تحذيرات سابقة من أجهزة استخبارات أوروبية، منها الهولندية (AIVD وMIVD)، الألمانية (BfV وBSI)، والفرنسية (ANSSI). كما وثّقت مجموعة Google Threat Intelligence منذ أوائل 2025 استخدام مجموعة UNC5792 لخاصية “الأجهزة المرتبطة” في سيغنال، مع تكرار الأسلوب ضد واتساب وتليغرام. إلى جانب التحذير، أعلنت وزارة الخارجية الأمريكية عبر برنامج Rewards for Justice عن مكافأة تصل إلى 10 ملايين دولار مقابل معلومات تقود إلى مجموعة UNC5792.
إجراءات الحماية الموصى بها
- التعامل مع أي رسالة داخل التطبيق من “دعم سيغنال” باعتبارها مشبوهة.
- عدم مشاركة مفتاح الاستعادة أو رموز التحقق أو رقم الـ PIN داخل المحادثات.
- مراجعة الأجهزة المرتبطة من إعدادات التطبيق وحذف أي جهاز غير معروف.
- في حال مشاركة المفتاح بالفعل، يجب إنشاء مفتاح جديد فورًا، مع افتراض أن النسخ السابقة أصبحت في يد المهاجمين.
التحذير يؤكد أن التشفير في سيغنال لم يُكسر، وأن الثغرة تكمن في الحسابات الفردية عبر الهندسة الاجتماعية، حيث يظل المستخدم هو الحلقة الأضعف في سلسلة الأمان.
