ロシアの諜報機関とつながりのあるハッカーが、Signalの暗号化そのものを破ることなくアカウントを完全に乗っ取り、過去のメッセージ履歴にアクセスする新たな手口として、ユーザーのバックアップ復元キーを狙う戦術に転換していることが分かりました。
FBIとCISAは、この進化を続けるフィッシングキャンペーンが世界中の重要標的を狙っており、アプリ内の「サポート」メッセージに対するユーザーの信頼を悪用していると警告しています。
これらのグループはロシア連邦保安庁(FSB)国境警備隊、およびロシア軍関連組織のために活動する主体と関連があり、政府高官、軍関係者、ジャーナリスト、政治家、ウクライナの主要当局者など、諜報価値の高い人物を優先的に狙っています。
Cloudsecurity solutions
2026年3月20日付のPSA(I-032026-PSA)では当初、RIS(ロシア諜報機関)の攻撃者が検証コードやPINを狙ったフィッシングによって数千件の商用メッセージングアプリ(CMA)アカウントを侵害し、攻撃者が管理するデバイスを被害者のアカウントに紐付けていた経緯が詳述されていました。
今回の6月版アップデートでは、個々のアカウントが侵害されている一方で、Signalの暗号化技術やアプリケーション基盤そのものは侵害されていないことが明確にされており、攻撃手法が暗号技術やアプリレベルの脆弱性の悪用ではなく、ソーシャルエンジニアリングであることが改めて強調されています。
最新の情報によれば、RISの実行者は現在、Signalの自動サポートや「CMAサポート」ボットになりすまし、メッセージングアプリ内で高度に個別化されたフィッシングメッセージを送りつけています。
これらのおとりメッセージは、イランや旧ソ連諸国出身のハッカーによる攻撃について米政府や欧州のパートナーと共同で調査を行った結果、Signalが二段階認証を必須化したという虚偽の内容を伝えるものです。
被害者は「アカウントを保護する」ためにバックアップを有効化するよう指示され、その後バックアップ復元キーを共有するよう仕向けられます。多くの場合、設定→バックアップ→バックアップを有効化→復元キーを表示、という手順を偽のアプリ内フローで誘導し、そのキーを「サポート」宛てに送信するよう促す仕組みです。
2026年6月25日に発表されたFBIとCISAの共同注意喚起(PSA)によると、UNC5792およびUNC4221として追跡されているロシア諜報機関(RIS)のサイバー攻撃者集団は、Signalを含む商用メッセージングアプリを標的に、継続的な世界規模のキャンペーンを展開しています。
攻撃者はバックアップ復元キーを入手すると、過去の個人メッセージやグループメッセージ、メディアファイルを含むアカウントのバックアップ全体を復号してダウンロードでき、その後アカウントを乗っ取ることが可能になります。
標的となるSignalのキー
特に重要な点として、ユーザーが後にアカウントを削除し、同じ電話番号で新たにSignalアカウントを登録した場合でも、設定画面で手動により新しいキーを生成しない限り、侵害されたバックアップ復元キーは今後のバックアップ復元に対して有効なままとなります。
これにより、攻撃者は表面上「新規にやり直した」ように見えるアカウントであっても、再び乗っ取ったり、復元されたメッセージ履歴に再アクセスしたりできる可能性があります。
FBIとCISAは、正規のCMAやSignalのサポートがアプリ内メッセージを通じて検証コード、アカウントPIN、バックアップ復元キーを要求することは決してないと強調しています。
公式のサポート連絡は企業のメールチャネルを通じて行われます。アカウントの「確認」や「復元」を促すリンクを送ることはなく、サポートのやり取りの一環として機密性の高いコードや暗号鍵の共有をユーザーに求めることも決してありません。
侵害が疑われる場合、ユーザーはただちにアプリの設定内で新しいバックアップ復元キーを生成し、既存のキーを無効化すべきです。ただし、これは今後のバックアップダウンロードを防ぐだけであり、攻撃者がすでに窃取したバックアップへのアクセスを遡って取り消すものではない点に注意が必要です。
スパイウェアによるメッセージングアプリへの攻撃、フィッシング対策、モバイル通信のベストプラクティスに関するCISAの広範なガイダンスでは、見慣れないアプリ内メッセージや不審なメッセージは疑ってかかること、リンクやQRコードを慎重に確認すること、そして安全なメッセージングセッションがスパイウェアによって傍受されるのを防ぐために端末のセキュリティを強化しておくことの重要性が強調されています。
Cloudsecurity solutions
被害に遭った、または標的とされた人物には、インターネット犯罪苦情センター(IC3)への申告、最寄りのFBI支局への通報、およびCISAのインシデント報告システムまたは同機関の24時間365日対応のオペレーションセンターへの報告が強く推奨されています。
スプーフィングおよびフィッシングに関するFBIの資料、ならびにメッセージングアプリを狙うスパイウェア、フィッシングのライフサイクル遮断、モバイル通信に関するCISAの勧告では、追加の技術的・防御的なガイダンスが提供されています。
2026年、AI SOCが備えるべき機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/signal-keys-targeted/
