Oszuści rozsyłają fałszywe wiadomości, w których podszywają się pod zespół obsługi aplikacji Signal. Informują o rzekomym zablokowaniu konta i zamieszczają link, który ma rzekomo pomóc w jego odblokowaniu. W rzeczywistości prowadzi on do fałszywej strony. Jeśli kliknie się taki link, można stracić dostęp do konta. Oszuści mogą przejąć wiadomości i uzyskać stały dostęp do komunikacji.

Oto przykład wiadomości, jaką mogą otrzymać użytkownicy aplikacji Signal:

Wiadomości wykorzystywane przez oszustów mogą mieć różne wersje. Czasem różnią się tylko szczegółami. Jeśli pojawi się taka wiadomość – zwłaszcza gdy zawiera link i budzi wątpliwości – należy:

1.Nie otwierać linku znajdującego się w wiadomości.

2. Nie blokować kontaktu, z którego przyszła wiadomość.

3a. W przypadku urządzeń prywatnych: zgłosić incydent do CSIRT NASK: https://incydent.cert.pl. 

3b. W przypadku urządzeń służbowych: zgłosić incydent do komórki odpowiedzialnej za cyberbezpieczeństwo w ramach organizacji, a ta powinno zgłosić incydent do właściwego CSIRT.

Przestrzeganie powyższych zasad pozwala uniknąć przejęcia konta.

Jeśli jednak doszło do kliknięcia w link lub wykonania innych działań wskazanych w fałszywej wiadomości, incydent trzeba jak najszybciej zgłosić:

• w przypadku urządzeń prywatnych – do zespołu CSIRT NASK,
• w przypadku urządzeń służbowych – do osoby lub komórki odpowiedzialnej za cyberbezpieczeństwo w organizacji.

Skutki takiego ataku mogą być poważne. Oszuści mogą uzyskać stały dostęp do wiadomości i przejąć poufną komunikację w aplikacji Signal.

Niezależnie od powyższych zaleceń, warto zadbać o ustawienia prywatności w aplikacji Signal. Zaleca się włączenie funkcji, które zwiększają bezpieczeństwo – na przykład sprawdzanie numeru bezpieczeństwa. To pozwala upewnić się, że rozmowa odbywa się z właściwą osobą. W przypadku innych komunikatorów również warto włączyć podobne ustawienia – jeśli są dostępne.

Ministerstwo Cyfryzacji udostępnia administracji publicznej bezpieczne narzędzia do komunikacji:

• Komunikator na urządzenia służbowe – zaprojektowany tak, aby ataki phishingowe, takie jak ten opisany wyżej, nie były możliwe ze względu na sposób działania aplikacji.
• Mobilny system łączności niejawnej SKR-Z – zapewnia bezpieczną komunikację i również jest odporny na tego typu ataki.

Ministerstwo Cyfryzacji zachęca instytucje należące do Krajowego Systemu Cyberbezpieczeństwa do udziału w bezpłatnych szkoleniach. Obejmują one m.in. sposoby przeciwdziałania atakom phishingowym.

Dodatkowo, we współpracy z NASK-PIB, Ministerstwo prowadzi w ramach projektu SecureV specjalistyczne szkolenia dla osób na stanowiskach kierowniczych w administracji publicznej. Szkolenia te dotyczą m.in.:

• zasad bezpiecznego korzystania z sieci (tzw. higiena cyfrowa),
• ochrony przed phishingiem.

Do udziału w tych szkoleniach zapraszamy w szczególności parlamentarzystów oraz kierownictwo ministerstw i urzędów centralnych.

W celu uzyskania szczegółowych informacji należy skontaktować się z Departamentem Cyberbezpieczeństwa Ministerstwa Cyfryzacji.