Una campagna di spionaggio attribuita alla Russia prende di mira Signal senza violarne la crittografia, ma sfruttando phishing, account takeover e associazione di dispositivi. Tra i bersagli figurano istituzioni, media, politici e personalità italiane ed europee vicine all’Ucraina.

Pubblicato su Agenda Digitale

Come difendersi da un attacco di ingegneria sociale sofisticato? La piattaforma di comunicazione Signal, tra le più sicure per lo scambio di informazioni sensibili, è stata al centro di una campagna di spionaggio riconducibile ad attori russi contro Paesi, istituzioni, media e figure pubbliche europee impegnate al fianco dell’Ucraina. Non è stata violata la crittografia, ma è stato sfruttato il fattore umano.

Questa campagna, che ha interessato anche la vicepresidente del Parlamento europeo Pina Picierno, sembra essere al centro di un’operazione cyber più ampia e non ha violato la crittografia della piattaforma, ma ha sfruttato l’invio di messaggi che limitano il suo servizio di sicurezza e invitano a comunicare codici, pin o a collegarsi ad altri dispositivi. In questo modo si ottiene l’accesso all’account e alle chat, con annesse informazioni riservate, attraverso il supporto inconsapevole dell’utente. L’ACN, Agenzia di Cybersicurezza Nazionale, ha fornito alcune indicazioni per tutelarsi da attacchi di questo genere.

Il ruolo del fattore umano

Campagne di questo genere, che sfruttano l’abuso della funzione “linked devices” di Signal, che attraverso un QR code o una pagina contraffatta portano l’utente a collegarsi ad un dispositivo controllato dall’attaccante, erano state già segnalate da Google Threat Intelligence Group nel 2025. Con questa funzione, i messaggi successivi dell’utente finiscono anche nel dispositivo collegato, senza che l’utente se ne accorga.

Quindi, se la crittografia end-to-end di Signal resta sicura, in questo caso ad essere stato aggirato è l’utente stesso attraverso strategie di ingegneria sociale. Ecco come hanno agito gli hacker russi: dopo aver inviato messaggi da una fittizia assistenza tecnica interna di Signal, sfruttando la cosiddetta tecnica del phishing, hanno invitato l’utente a condividere il codice numerico di verifica dell’account o, in alcuni casi, hanno sottratto le chiavi di recupero dei backup per accedere allo storico delle chat private, così da poter clonare l’account, e relative conversazioni, dell’utente su un altro dispositivo.

Il metodo che sfrutta l’associazione dei dispositivi aveva già interessato WhatsApp, si tratta del GhostPairing, che induce il bersaglio a completare la procedura di associazione dei dispositivi, aggiungendo silenziosamente il browser dell’autore dell’attacco come dispositivo collegato invisibile all’account.

Le principali vittime dello spionaggio russo su Signal

Già nei mesi precedenti l’FBI, Federal Bureau of Investigation, e la CISA, Cybersecurity and Infrastructure Security Agency, così come i servizi di intelligence olandesi AIVD e MIVD, avevano lanciato l’allarme in merito a messaggi inviati da finti “Signal Support”, “Signal Security Bot” o simili, in realtà di provenienza russa, e rivolti a profili di alto rango o che si presume possano avere accesso a informazioni sensibili.

Infatti, sono figure istituzionali e di rilievo di Europa e Italia le vittime privilegiate di questa campagna di spionaggio russo: politici e diplomatici, giornalisti d’inchiesta, manager di aziende strategiche e funzionari pubblici e personalità del mondo militare e della difesa. Nulla vieta che la stessa tecnica venga replicata e passi a prendere di mira anche il mondo aziendale e la cittadinanza comune.

Se il caso della vicepresidente del Parlamento europeo Picierno era stato già denunciato a maggio, evidenziando come lo spionaggio avesse interessato una serie di personalità del mondo politico e istituzionale europeo, ora è emerso che c’è una lunga lista di figure italiane coinvolte nella campagna di attacco, utili alla causa per arrivare ad una serie di relazioni e informazioni sensibili e strategiche.

Le raccomandazioni dell’ACN

A causa di queste campagne di spionaggio russo, i servizi olandesi AIVD e il MIVD sostengono che piattaforme di messaggistica come Signal e WhatsApp non sono adatte alla condivisione di informazioni governative classificate, riservate o in generale sensibili, nonostante ospitino la crittografia end-to-end.

In ogni caso, come raccomandato dall’Agenzia per la cybersicurezza nazionale già nel bollettino pubblicato lo scorso febbraio sull’attacco a Signal, per far fronte a questo tipo di attacchi è consigliabile:

• verificare periodicamente che i componenti dei gruppi Signal siano effettivamente corrispondenti con i numeri di telefono in rubrica e/o che non ci siano account doppi per una singola persona”.
• “evitare di dare seguito a messaggi provenienti da profili che fingono di essere di tipo supporto tecnico: Signal non ha un servizio clienti che opera tramite chat private. Non esistono “Amministratori Signal” che contattano direttamente l’utenza;
• non fornire codici OTP via chat/SMS/link etc nemmeno quando richiesti da account fidati: il codice a 6 cifre che arriva via SMS serve esclusivamente per l’installazione e l’eventuale cambio telefono;
• non fornire ulteriori dati sensibili o codici relativi ai propri account: ogni eventuale altro codice di sicurezza serve unicamente a garantire il pieno controllo dell’account da parte dell’utente.

Fonte Agenda Digitale