Signal заявила, что служба поддержки никогда не просит код регистрации, PIN или ключ восстановления. Аналитик Washington Post Josh Rogin показал подделку аккаунта Signal Support, в которой хакеры просили сразу отправить ключ, чтобы «сохранить» резервную копию. В подписи писем было написано: «Не выполните — потеря доступа ко всем данным».
Кому приходят сообщения
По данным Access Now, такие письма получают как активисты к‑маркета, так и организации, работающие в области свободы слова и прав человека. Это расширяет потенциальный круг целей.
Как работает атака
Получив ключ, злоумышленники могут захватить аккаунт, например, с помощью украденного номера телефона. Signal защищает процесс регистрацией через Registration Lock», требующий личный PIN‑код. Чтобы открыть старые чаты, хакеру нужен также ключ к функции «Secure Backups», запущенной в прошлом году.
Последствия
Атака ставит под угрозу личные данные пользователей и репутацию Signal как надёжного мессенджера.