El gobierno de Estados Unidos ha ofrecido una recompensa de hasta 10 millones de dólares por información que lleve a la identificación o captura de los responsables de un grupo de ciberataques ruso que ha conseguido hackear miles de cuentas de Signal y WhatsApp. Entre las víctimas hay periodistas de investigación, empleados del gobierno estadounidense y personal militar.
El grupo, conocido como UNC5792 y vinculado al Servicio Federal de Seguridad ruso (FSB), ha estado utilizando una técnica de phishing bastante elaborada. Los atacantes enviaban mensajes falsos que parecían provenir de la propia Signal, advirtiendo a los usuarios que debían «activar la copia de seguridad» o «verificar su cuenta» para no perder sus datos. Al hacer clic y proporcionar su clave de recuperación, los hackers podían vincular un dispositivo controlado por ellos a la cuenta de la víctima, lo que les daba acceso a todos los mensajes nuevos. La operación ha comprometido «miles de cuentas» desde al menos marzo de este año.
Lo preocupante de este ataque es que no aprovecha ningún fallo de seguridad en el cifrado de Signal o WhatsApp. Las aplicaciones siguen siendo seguras; el truco está en engañar a las personas para que entreguen voluntariamente sus claves de acceso. El Departamento de Estado, a través de su programa Rewards for Justice, advierte que cualquier persona —incluso profesionales entrenados en seguridad— puede caer en este tipo de engaños si está cansada o distraída. La lección para el usuario normal es clara: nunca compartas tu clave de recuperación con nadie, aunque el mensaje parezca venir de la aplicación oficial, y si tienes dudas, espera unas horas antes de actuar.
— Marta, para inteligencia intermitente.
