Russiske statsstøttede hackere forsøger i øjeblikket at få adgang til brugerkonti på de krypterede beskedtjenester Signal og WhatsApp. Det oplyser den hollandske efterretningstjeneste AIVD i en ny advarsel offentliggjort 9. marts.
Ifølge AIVD er kampagnen en del af en bredere russisk cyberoperation, hvor målet er at få adgang til kommunikation hos personer med adgang til følsomme oplysninger.
Blandt de primære mål er regeringsansatte, diplomater, militært personel og journalister.
Angrebene retter sig ikke mod selve krypteringen i appsene. I stedet forsøger hackerne at narre brugerne til selv at give adgang til deres konti.
Metoden er klassisk. Angribere kontakter brugeren og udgiver sig for eksempel for at være teknisk support eller en kendt kontakt. Brugeren bliver derefter bedt om at dele en verifikationskode eller en sikkerheds-PIN.
Hvis koden deles, kan angriberen registrere kontoen på en ny enhed og dermed få adgang til beskeder og samtaler.
En anden metode går ud på at få koblet en ny enhed til brugerens konto via funktioner som “linked devices”. På den måde kan angriberen læse beskeder i realtid uden nødvendigvis at overtage hele kontoen.
Ifølge AIVD er flere hollandske embedsmænd allerede blevet ramt af kampagnen. Efterretningstjenesten vurderer, at angribere i nogle tilfælde kan have fået adgang til følsomme samtaler og gruppetråde.
Signal og WhatsApp anvender begge stærk end-to-end-kryptering, som i sig selv ikke er kompromitteret. Problemet opstår, når angribere får adgang til selve brugerens konto eller enhed.
Derfor understreger AIVD, at selv krypterede beskedtjenester ikke bør bruges til klassificeret eller meget følsom kommunikation.
Der er endnu ikke nogle officielle danske udmeldinger.
AIVID skriver:
Alle Signal-brugere kan personligt tjekke, om der er potentielt kompromitterede kontakter i deres gruppechats.
Hvis du ser personer, der vises to gange på medlemslisten (under samme eller et lidt anderledes navn), kan dette være tegn på enten en kompromitteret konto eller en ny konto oprettet af et offer.
Hvis du har mistanke om, at dette er tilfældet, skal du rapportere det til din organisations informationssikkerhedsafdeling. Sammen kan I forsøge at verificere (helst ved hjælp af en anden kanal end Signal eller WhatsApp, f.eks. en e-mail eller et telefonopkald), om det er korrekt, at den pågældende konto optræder to gange i chatgruppens kontaktliste. Hvis dette ikke er tilfældet, skal du bede gruppeadministratoren om at fjerne begge konti fra gruppechatten, hvorefter den legitime kontoindehaver kan anmode om at blive medlem af gruppen igen.
Vær opmærksom på gruppemedlemmer, der ikke genkendes af resten af gruppen. Aktøren kan lejlighedsvis ændre visningsnavnet på en kompromitteret konto, så den forbliver ubemærket i chatgrupper, for eksempel til navne som ‘Slettet konto’. Hvis et medlems visningsnavn ændres, modtager gruppen en besked. Når ændringen er den legitime overgang til ‘Slettet konto’, sendes der ingen besked.
Aktørkontrollerede konti kan også få adgang til gruppen via et indhentede gruppelink, som gruppen altid modtager en besked om. I alle sådanne uautoriserede scenarier skal du bede gruppeadministratoren om at fjerne de problematiske konti fra chatten.
Hvis der er tegn på, at gruppeadministratoren selv kan være blevet kompromitteret, anbefales det at forlade gruppen og oprette en ny.
