Pełnomocnik Rządu ds. Cyberbezpieczeństwa 14 maja 2026 r. wydał oficjalną rekomendację dotyczącą komunikatora Signal. Powodem są nasilone ataki phishingowe grup APT powiązanych z obcymi służbami. Celem hakerów jest przejmowanie kont polityków, urzędników i personelu wojskowego. CSIRT potwierdza, że kampania ma charakter zorganizowany i stanowi realne zagrożenie dla bezpieczeństwa państwa.
- Na czym polega atak na użytkowników Signal?
- Dwa główne warianty ataku na komunikator
- Najważniejsze zasady bezpieczeństwa przy korzystaniu z komunikatora Signal
- Co zrobić w razie incydentu?
- Administracja ma korzystać z krajowych narzędzi - zagraniczne komunikatory w urzędach to proszenie się o kłopoty
- Dlaczego to ważne?
Na czym polega atak na użytkowników Signal?
Zidentyfikowane incydenty pokazują, że atakujący nie wykorzystują złośliwego oprogramowania. Zamiast tego stosują:
- socjotechnikę,
- podszywanie się pod „Signal Support” lub „Signal Security Support Chatbot”,
- fałszywe komunikaty o rzekomej blokadzie konta.
Ofiara otrzymuje wiadomość o „podejrzanej aktywności” lub „włamaniu na konto”. Następnie proszona jest o podanie:
- kodu weryfikacyjnego SMS,
- numeru PIN do aplikacji.
W rzeczywistości przekazanie tych danych oznacza pełne przejęcie konta przez atakującego. Według ustaleń CSIRT, działania przypisywane są grupom APT działającym w interesie Federacji Rosyjskiej.
Dwa główne warianty ataku na komunikator
Przejęcie konta przez wyłudzenie kodu
To klasyczny phishing. Po zdobyciu kodu SMS i PIN-u napastnik:
- uzyskuje dostęp do kontaktów ofiary,
- może czytać wiadomości,
- w niektórych przypadkach – także wiadomości w grupach,
- blokuje właścicielowi dostęp do konta.
Powiązanie dodatkowego urządzenia
W tym wariancie ofiara otrzymuje:
- link,
- kod QR.
Wiadomość z linkiem lub QR kodem może wyglądać jak zaproszenie do grupy, ale w rzeczywistości powoduje podłączenie urządzenia atakującego do konta ofiary.
Skutek:
- napastnik czyta wszystkie czaty (często z historią),
- może wysyłać wiadomości w imieniu ofiary,
- właściciel konta nadal ma dostęp, ale nie wie, że ktoś go podgląda.
Najważniejsze zasady bezpieczeństwa przy korzystaniu z komunikatora Signal
Pełnomocnik Rządu przypomina o bezwzględnym stosowaniu podstawowych zasad:
- nie klikaj w linki z nieoczekiwanych SMS-ów i wiadomości,
- nigdy nie podawaj kodów SMS ani PIN-u,
- pamiętaj, że Signal nie kontaktuje się z użytkownikami przez komunikator,
- skanuj kody QR wyłącznie w aplikacji Signal i tylko gdy sam łączysz urządzenie,
- regularnie sprawdzaj listę powiązanych urządzeń,
- włącz funkcję „Blokada rejestracji”,
- ukryj numer telefonu i korzystaj z unikalnej nazwy użytkownika,
- nie przesyłaj przez komunikator informacji niejawnych ani wrażliwych.
Co zrobić w razie incydentu?
W przypadku podejrzenia przejęcia konta należy:
- na urządzeniu prywatnym zgłosić incydent do CSIRT NASK przez stronę: incydent.cert.pl,
- na urządzeniu służbowym – zgłosić sprawę do wewnętrznej komórki ds. cyberbezpieczeństwa.
Szybkie zgłoszenie zwiększa szansę na ograniczenie skutków ataku.
Administracja ma korzystać z krajowych narzędzi - zagraniczne komunikatory w urzędach to proszenie się o kłopoty
Ministerstwo Cyfryzacji zaleca, by organy publiczne w komunikacji służbowej ograniczały korzystanie z komercyjnych komunikatorów i używały rozwiązań krajowych. Rekomendowane systemy to:
- mSzyfr - bezpieczny komunikator dla administracji publicznej i podmiotów KSC, zarządzany przez NASK-PIB.
- SKR-Z - system łączności niejawnej (do klauzuli „Zastrzeżone”, „NATO Restricted”), działający w środowisku odseparowanym od Internetu.
Oba rozwiązania pozostają pod jurysdykcją RP, a infrastruktura znajduje się w Polsce.
Dlaczego to ważne?
Rekomendacja została wydana na podstawie ustawy o krajowym systemie cyberbezpieczeństwa. Ma na celu ochronę:
- poufności komunikacji osób pełniących funkcje publiczne,
- integralności systemów państwowych,
- bezpieczeństwa obywateli.
Resort cyfryzacji zapowiada dalsze szkolenia dla kadry kierowniczej administracji (program SecureV) w zakresie higieny cyfrowej i ochrony przed phishingiem.
Źródło: Ministerstwo Cyfryzacji