Investigador de seguridad expone campaña de phishing en Signal

Donncha Ó Cearbhaill, un investigador de seguridad que dirige el Laboratorio de Seguridad de la organización sin fines de lucro Amnistía Internacional, identificó una campaña de phishing a gran escala dirigida a usuarios de la plataforma de mensajería cifrada Signal. Ó Cearbhaill descubrió la campaña después de convertirse él mismo en un objetivo. Reconoció el intento de hackear su cuenta y lo utilizó como una oportunidad para investigar la operación. A través de su investigación, determinó que era uno de los más de 13,500 objetivos. El intento de phishing en su contra comenzó con un mensaje engañoso enviado por una cuenta que se hacía pasar por el ChatBot de Soporte de Seguridad de Signal, el cual decía: “Estimado usuario, este es el ChatBot de Soporte de Seguridad de Signal. Hemos notado actividad sospechosa en su dispositivo, lo que podría haber provocado una filtración de datos”. Los atacantes intentaron engañar a los objetivos para que ingresaran un código de verificación con el fin de vincular sus cuentas a dispositivos controlados por los atacantes. Ó Cearbhaill se dio cuenta de que otros objetivos incluían a un colega y a periodistas con los que había trabajado, lo que sugiere que los hackers utilizaron cuentas comprometidas para encontrar nuevas víctimas.

Según Ó Cearbhaill, los hackers utilizaron un sistema automatizado llamado “ApocalypseZ” para ejecutar la campaña. Este sistema permitió a los operadores automatizar los ataques y dirigirse a un gran número de personas simultáneamente con una supervisión humana limitada. La base de código y la interfaz de operador de ApocalypseZ están en ruso, y el sistema traducía los chats de las víctimas al ruso. La campaña ha sido vinculada a hackers del gobierno ruso y a espías del gobierno ruso. Esta conexión fue reportada por la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA, la agencia de ciberseguridad de EE. UU.) junto con la agencia de ciberseguridad del Reino Unido y la inteligencia holandesa, las cuales han advertido sobre la campaña. Además, la revista de noticias alemana Der Spiegel informó que la campaña comprometió a varios individuos alemanes, incluidos políticos de alto perfil.

A pesar de haber sido un objetivo, Ó Cearbhaill no se deja intimidar por el intento de hackeo. Señaló que sigue monitoreando la campaña y continúa viendo ataques activos, lo que sugiere que el número total de objetivos es probablemente mayor que la cifra inicial que identificó. Para protegerse contra estos intentos de secuestro de cuentas, Ó Cearbhaill aconseja a los usuarios de Signal que activen la función de Bloqueo de Registro (Registration Lock) de la plataforma. Esta configuración de seguridad requiere que los usuarios ingresen un PIN al registrar su número de teléfono en un nuevo dispositivo, lo que evita transferencias no autorizadas incluso si los atacantes obtienen un código de verificación.

Por qué importa

Este incidente destaca la creciente sofisticación de las campañas de phishing automatizadas dirigidas a plataformas de mensajería cifrada y subraya la amenaza persistente que representan los actores patrocinados por estados.