Разработчиците на отворения мессенджър Signal разкриха информация за целево нападение, целящо се да контролира акаунтите на някои потребители. Нападението е извършено чрез хакване на услугата Twilio, използвана в Signal за организиране на изпращането на SMS съобщения с кодове за потвърждение. Анализът на данните показа, че хакването на Twilio е могло да засегне около 1900 телефонни номера на потребители на Signal, за които нападателите са имали възможност да пререгистрират номера на друго устройство, след което могат да получават или изпращат съобщения за свързания телефонен номер (достъпът до историята на предишната кореспонденция, информацията от профила и адресната книга не е могъл да бъде получен, тъй като подобна информация се съхранява на устройството на потребителя и не се предава на сървърите на Signal).
В периода между хакването и блокирането от услугата Twilio на компрометирания акаунт на служител, използван за нападението, по означените 1900 телефонни номера е наблюдавана активност, свързана с регистрацията на акаунта или изпращането на проверъчен код чрез SMS. При това, след като получиха достъп до служебния интерфейс на Twilio, нападателите проявяваха интерес към конкретни три номера на потребители на Signal, и поне един от телефоните е успял да бъде свързан с устройството на извършителя, съдейки по оплакването, получено от собственика на пострадалия акаунт. Signal изпрати SMS известия за инцидента на всички потребители, които потенциално могат да бъдат засегнати от атаката, и отмени регистрацията на техните устройства.
Хакването на Twilio е извършено с използване на методи на социалното инженерство, позволили на нападателите да примамят един от служителите на компанията на фишинг страница и да получат достъп до неговия акаунт в системата за поддръжка на клиенти. В частност, нападателите разпространявали SMS съобщения на служителите на Twilio с предупреждение за изтичането на срока на действието на акаунта или информация за промяна на графика, към които е била прикрепена връзка към фалшива страница, стилизирана като интерфейса за единен вход в служебните услуги на Twilio. Според данни на Twilio, свързвайки се с интерфейса на службата за поддръжка, нападателите успели да получат достъп до данни, свързани с 125 потребители.
Източник: opennet.ru
