Den krypterte meldingstjenesten Signal advarer om en bølge av phishing-angrep som har ført til at kontoer til blant annet journalister og offentlige tjenestepersoner er blitt overtatt
Selskapet understreker at selve systemet ikke er kompromittert, melder Cyber Security News.
Signal opplyser at flere målrettede angrep har ført til at brukerkontoer er blitt overtatt av uvedkommende. Angrepene har særlig vært rettet mot personer i utsatte stillinger, som journalister og myndighetspersoner.
Selskapet sier samtidig at selve infrastrukturen og krypteringen i tjenesten fortsatt er trygg.
– Våre systemer og ende-til-ende-kryptering er ikke brutt, opplyser selskapet.
I stedet utnytter angriperne brukerne selv gjennom manipulasjon og falske meldinger.
Lurer brukere til å gi fra seg koder
Ifølge Signal skjer angrepene ved at svindlere utgir seg for å være betrodde kontakter eller en falsk «Signal Support Bot». Målet er å få brukere til å oppgi viktige sikkerhetsopplysninger.
Når angriperne får tak i slike opplysninger, kan de registrere en ny enhet på offerets telefonnummer.
Da kan de i praksis ta kontroll over kontoen og sende meldinger til offerets kontakter som om de var personen selv.
Dette kan være særlig alvorlig for personer som håndterer sensitiv informasjon.
Vil aldri be om koder
Signal understreker at selskapets support aldri tar kontakt via meldinger, SMS eller sosiale medier for å be om bekreftelseskoder eller PIN-koder.
– En SMS-kode fra Signal er bare nødvendig når du registrerer appen første gang.
Under registreringen advarer også tjenesten tydelig mot å dele slike koder med andre. Dersom noen ber om en Signal-kode, er det et svindelforsøk.
Ber brukere være ekstra oppmerksomme
Signal opplyser at de arbeider med tekniske tiltak og forbedringer i brukergrensesnittet for å redusere risikoen.
Samtidig peker sikkerhetseksperter på at den viktigste beskyttelsen fortsatt er at brukerne selv er oppmerksomme.
Personer som kan være særlig utsatt, anbefales å følge strenge sikkerhetsrutiner og aldri dele bekreftelseskoder eller PIN-opplysninger med andre.
