Kopia zapasowa Signal to archiwum, które leży na serwerach firmy w postaci zaszyfrowanej. Klucz do niego ma 64 znaki, zna go wyłącznie właściciel konta, a sam Signal go nie widzi i nie potrafi odtworzyć. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa opublikował 8 września rekomendację, w której opisuje kampanię wymierzoną właśnie w ten ciąg znaków. Napastnicy podszywają się pod oficjalne konto Signal Support, namawiają rozmówcę do włączenia kopii zapasowej, a potem proszą o klucz. Kto go przekaże, oddaje razem z nim dostęp do całej historii wiadomości i do multimediów z ostatnich 45 dni.
Czym jest klucz odzyskiwania kopii zapasowej w Signalu
Signal trzyma wiadomości na urządzeniu użytkownika i sam ich kopii nie ma. Funkcja bezpiecznych kopii zapasowych pozwala odłożyć archiwum na serwerach firmy. Kopia zapasowa Signal ma dwa warianty. Wersja bezpłatna obejmuje wszystkie wiadomości tekstowe oraz multimedia z ostatnich 45 dni. Za opłatą można przechowywać do 100 gigabajtów załączników.
Całe archiwum jest szyfrowane po stronie urządzenia. Klucz odzyskiwania powstaje przy włączaniu funkcji, a użytkownik ma go wtedy zapisać i potwierdzić. Ma 64 znaki i, jak podaje dokumentacja Signala, nigdy nie trafia na serwery firmy. Bez niego nikt nie odczyta zawartości kopii, łącznie z samym Signalem.
Ta konstrukcja ma jasną konsekwencję. Producent nie odzyska klucza ani nie zresetuje go za użytkownika, bo go nie zna. Żeby unieważnić dostęp do dotychczasowej kopii, trzeba ją usunąć i wygenerować nowy klucz. Cała odpowiedzialność za ten jeden ciąg znaków leży po stronie użytkownika. Znaleźć go można w ustawieniach, w sekcji kopii zapasowych, po wejściu w podgląd kodu odzyskiwania.
Czym klucz odzyskiwania różni się od PIN-u i kodu z SMS-a
Rekomendacja wymienia trzy różne sekrety i zakazuje przekazywania każdego z nich. Warto wiedzieć, czym się różnią, bo tylko jeden z nich otwiera archiwum rozmów.
Kod weryfikacyjny z SMS-a służy do rejestracji numeru w aplikacji. Jest jednorazowy i pojawia się przy zakładaniu konta albo przy przenoszeniu go na nowe urządzenie.
PIN Signala to osobna rzecz. Odtwarza profil, ustawienia, kontakty i listę blokad. Dokumentacja producenta mówi o nim wprost, że nie jest kopią zapasową rozmów i że historii wiadomości nim się nie odzyska. Z PIN-em związana jest blokada rejestracji, którą włącza się osobno. Po jej włączeniu podanie PIN-u jest wymagane przy próbie zarejestrowania numeru na innym telefonie.
Klucz odzyskiwania pełni zupełnie inną funkcję. Odszyfrowuje archiwum. Signal sam zaznacza w opisie PIN-u, że są to dwie różne rzeczy, których nie należy mylić. Napastnicy w opisanej kampanii pytają dokładnie o ten trzeci sekret, a nie o dwa pierwsze.
Jak wygląda kampania podszywania się pod Signal Support
Dokument opisuje sposób działania napastników. Nie podaje ani jednego potwierdzonego przypadku w Polsce, nie mówi o ich liczbie, nie nazywa grupy atakujących i nie wspomina o żadnej luce w samym Signalu. Opisany wariant opiera się na socjotechnice i na tym, że użytkownik sam przekaże klucz.
Schemat ma dwa kroki. Najpierw kontakt podający się za oficjalne konto Signal Support namawia użytkownika do uruchomienia kopii zapasowej na serwerze. Potem prosi o przekazanie albo przesłanie 64-znakowego klucza. Rekomendacja każe zachować szczególną ostrożność wobec wiadomości nakłaniających do wykonania kopii zapasowej albo weryfikacji konta. Skutek opisuje jednym zdaniem:
Pozyskanie przez atakującego tego klucza umożliwia przejęcie konta użytkownika oraz odszyfrowanie zawartości kopii zapasowej, w tym dostęp do historycznych wiadomości i multimediów wymienianych z poszczególnymi kontaktami.
Grupy podwyższonego ryzyka dokument nazywa precyzyjnie: “osoby zajmujące kierownicze stanowiska w administracji publicznej, osoby pełniące funkcje publiczne, kadra zarządzająca spółek oraz kierownictwo podmiotów KSC”. Ostatnia kategoria to podmioty krajowego systemu cyberbezpieczeństwa, o których pisaliśmy przy samorejestracji w Wykazie KSC. Warto zwrócić uwagę na kadrę zarządzającą spółek, bo ten fragment listy obejmuje także firmy spoza sektora publicznego.
Dlaczego to druga rekomendacja o Signalu w cztery miesiące
Pełnomocnik ostrzegał przed kampaniami phishingowymi wymierzonymi w użytkowników Signala już 14 maja. Tamten dokument opisywał kampanie grup APT powiązanych z obcymi państwami. Sprawcy podszywali się pod obsługę techniczną aplikacji i wysyłali wiadomości o rzekomej blokadzie konta, żeby skłonić odbiorcę do kliknięcia złośliwego odnośnika.
Wrześniowa rekomendacja nazywa siebie uzupełnieniem tamtej. Podszywanie się pod obsługę Signala zostaje bez zmian, zmienia się cel rozmowy. W maju chodziło o kliknięcie w odnośnik, teraz o przekazanie klucza, który użytkownik ma już zapisany u siebie.
Ta zmiana ma dla napastnika praktyczny sens. Przy złośliwym odnośniku w grę wchodzi domena, którą da się zgłosić i zablokować. Nowy wariant opisany w rekomendacji nie wymaga od ofiary kliknięcia w cokolwiek. Wystarczy, że użytkownik włączy kopię zapasową i poda klucz, który już ma zapisany. Ten sam wzorzec widzieliśmy przy fałszywych SMS-ach podpisanych jako Gov PL, gdzie skuteczność brała się z zaufania do nadawcy, a nie ze sprytu technicznego.
Sam dokument nosi datę 4 września i został podpisany przez Krzysztofa Gawkowskiego, wicepremiera i ministra cyfryzacji. Podstawą jest art. 67a ustawy o krajowym systemie cyberbezpieczeństwa. Powstał we współpracy Ministerstwa Cyfryzacji z zespołem CSIRT GOV.
Co zmienić w ustawieniach Signala
Rekomendacja podaje listę zasad i to jest ta część, po której warto sięgnąć po telefon. Zaczyna się od trzech rzeczy, których nie przekazuje się nikomu: kodu weryfikacyjnego z SMS-a, PIN-u oraz 64-znakowego klucza odzyskiwania. Pracownicy Signala ani konto Signal Support o klucz nie proszą i dokument mówi to wprost.
Poza tym warto zrobić cztery rzeczy w samej aplikacji. Regularnie sprawdzać listę powiązanych urządzeń w ustawieniach komunikatora. Włączyć blokadę rejestracji, która wymaga PIN-u przy próbie zarejestrowania numeru gdzie indziej. Rozważyć wyłączenie kopii zapasowej na serwerach Signala, jeżeli nie jest naprawdę potrzebna. Przestać używać Signala do przekazywania informacji niejawnych oraz innych informacji, których ujawnienie mogłoby zaszkodzić bezpieczeństwu podmiotu.
Administracji publicznej dokument zaleca dwa narzędzia krajowe. mSzyfr to komunikator NASK-PIB do szyfrowanej komunikacji służbowej. SKR-Z to system łączności niejawnej działający w środowisku odseparowanym od internetu.
Co zrobić, gdy klucz odzyskiwania już wyciekł
Rekomendacja podaje ścieżkę krok po kroku, z dokładnymi nazwami pozycji w polskim menu aplikacji. Dokument wymienia je w takiej kolejności.
Najpierw zmiana PIN-u: Ustawienia, Konto, Zmień swój kod PIN. Potem skasowanie istniejącej kopii z serwera: Ustawienia, Kopie zapasowe, Pokaż Ustawienia, Usuń kopie zapasowe i wyłącz. Następnie wyłączenie automatycznego tworzenia nowych kopii. Na koniec wygenerowanie nowego klucza, zanim powstanie kolejna kopia: Ustawienia, Kopie zapasowe, Pokaż Ustawienia, Wyświetl kod odzyskiwania, Utwórz nowy kod.
Zostaje zgłoszenie. Incydent na urządzeniu prywatnym zgłasza się do CSIRT NASK przez formularz CERT Polska. Przy urządzeniu służbowym obowiązuje procedura organizacji, a komórka odpowiedzialna za bezpieczeństwo przekazuje sprawę dalej do właściwego zespołu CSIRT.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Najczęstsze pytania
Czy Signal może odczytać moją kopię zapasową?
Nie. Archiwum jest szyfrowane na urządzeniu kluczem, który nie trafia na serwery firmy. Signal przechowuje zaszyfrowaną paczkę i nie zna sposobu na jej otwarcie. Dlatego właśnie klucz odzyskiwania jest tak łakomym celem: bez niego nie ma innej drogi do zawartości.
Co się stanie, jeśli zgubię klucz odzyskiwania?
Kopia zapasowa staje się nie do odczytania i nikt tego nie odwróci. Signal nie ma zapasowej wersji klucza i nie zresetuje go na prośbę użytkownika. Można natomiast wyłączyć starą kopię i utworzyć nową z nowym kluczem, co jest zresztą częścią zalecanej procedury po jego ujawnieniu.
Podsumowanie
Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa opisał 8 września kampanię, w której napastnicy podszywają się pod konto Signal Support i wyłudzają 64-znakowy klucz odzyskiwania kopii zapasowej. Dokument nosi datę 4 września, powstał we współpracy z CSIRT GOV i uzupełnia majową rekomendację o tym samym komunikatorze. Nie podaje liczby przypadków w Polsce ani żadnego potwierdzonego zdarzenia i nie mówi o luce w Signalu, więc żaden z tych wątków nie ma pokrycia w źródle. Opisany wariant opiera się na socjotechnice: użytkownik sam włącza kopię zapasową i sam podaje klucz. Za najbardziej narażonych dokument uznaje kierownictwo administracji, osoby pełniące funkcje publiczne, kadrę zarządzającą spółek i kierownictwo podmiotów KSC. Praktyczna część mieści się w kilku ruchach w ustawieniach: przegląd powiązanych urządzeń, blokada rejestracji, świadoma decyzja o kopii na serwerze i wymiana klucza, jeśli mógł trafić w cudze ręce.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
