Un attacco in piena regola. Riuscito, peraltro. Signal colpito da hacker, non affondato ok, ma quasi duemila utenti hanno visto i propri numeri sottratti grazie all’ormai famigerato phishing, una parola entrata di diritto nel nostro vocabolari.
E’ stato Twilio, la società che fornisce a Signal i servizi di verifica del numero di telefono, a comunicare l’attacco. L’applicazione di messaggistica istantanea centralizzata che consente di effettuare chat e chiamate audio-video crittografate, una del migliori insieme a WhatsApp e Telegram, è riuscita a capire cosa è successo.
Un utente malintenzionato, probabilmente un cyber criminale che non ha rivendicato l’attacco, ha ottenuto l’accesso alla console dell’assistenza clienti di Twilio tramite phishing. Coinvolti circa 1900 utenti di Signal: I loro numeri di telefono sono stati potenzialmente rivelati come registrati su un account Signal ed è stato rivelato il codice di verifica SMS utilizzato per registrarsi con Signal.
Signal, come registrarsi nuovamente
Insomma, una affare non di poco conto. Signal precisa due cose: “L’attaccante non ha più questo accesso e l’attacco è stato interrotto da Twilio – si legge nella nota ufficiale – tra i 1.900 numeri di telefono, l’attaccante ha cercato esplicitamente tre numeri e abbiamo ricevuto una segnalazione da uno di quei tre utenti che il loro account è stato registrato nuovamente”.
Signal evidenzia come la cronologia dei messaggi degli utenti coinvolti, gli elenchi di contatti, le informazioni sul profilo e altri dati personali rimangono privati e sicuri e non sono stati interessati.
“Informiamo direttamente questi 1.900 utenti – continua l’azienda che controlla il software libero e open source, sviluppato da Signal Foundation e da Signal Messenger – e chiediamo loro di registrare nuovamente i loro dispositivi”. Come?
Lo spiega proprio Signal: “Apri Signal sul tuo telefono e registra nuovamente il tuo account Signal se l’app ti chiede di farlo. Per proteggere al meglio il tuo account, ti consigliamo vivamente di abilitare il blocco della registrazione nelle Impostazioni dell’app. Abbiamo creato questa funzione per proteggere gli utenti da minacce come l’attacco Twilio”.
Il tipo di attacco alle telecomunicazioni subito da Twilio è una vulnerabilità da cui Signal ha sviluppato funzionalità come il blocco della registrazione e i PIN di Signal per proteggersi. “Incoraggiamo vivamente gli utenti – conclude Signal – ad abilitare il blocco della registrazione. Sebbene non siamo in grado di risolvere direttamente i problemi che interessano l’ecosistema delle telecomunicazioni, lavoreremo con Twilio e potenzialmente altri fornitori per rafforzare la loro sicurezza laddove è importante per i nostri utenti”.
