Çevrimiçi iletişim uygulaması Signal, uçtan uca şifrelemeyi destekliyor ve aramalarınızın günlüklerini tutmuyor. Bu, onu en güvenli ve en gizlilik odaklı mesajlaşma uygulamalarından biri haline getiriyor. Ancak, doğrulama hizmeti sağlayıcısı Twilio’ya yakın zamanda gerçekleştirilen bir kimlik avı saldırısı, Signal’in güvenliğini de ciddi biçimde sarsmış durumda.

Bu durum, Twilio’nun Signal’e bir kimlik avı saldırısına uğradığını bildirmesiyle ortaya çıktı. Saldırgan, kimlik avı yoluyla Twilio’nun müşteri destek konsoluna erişmeyi başarmıştı. Bir Signal hesabına kayıtlı yaklaşık 1.900 kullanıcının telefon numaralarının da bu olayda açığa çıktığı bildirildi.

Soruşturma sırasındaki bulgular, saldırganın 1.900 telefon numarası arasında açıkça üç numarayı aradığını ve hesabı yeniden kaydedilen bu üç kullanıcıdan birinin olayı Signal’e zaten bildirdiğini ortaya koydu.

Daha da önemlisi, Signal bir kopyasını saklamadığından, saldırganın herhangi bir mesaj geçmişine, profil bilgilerine veya kullanıcıların kişi listelerine erişimi olması. Zira bunların hepsi kullanıcının cihazında saklanıyor.

Saldırı Twilio tarafından kısa süre içinde durduruldu. Ama bu kısa süre, saldırganın 1.900 kişinin telefon numaralarını alması için yeterli oldu.

Twilio, araştırmasına yardımcı olmak için Signal ile birlikte çalışıyor. Ayrıca Signal, potansiyel olarak etkilenen 1.900 kullanıcının tümü için Signal’in tüm cihazlarındaki kaydını kaldıracağını ve tercih ettikleri cihazda telefon numaralarıyla Signal’i yeniden kaydetmelerini istediğini bildirdi.

Şirket, potansiyel olarak etkilenen tüm 1.900 kullanıcıyı doğrudan SMS yoluyla bilgilendirme sürecini başlattı.

Kaynak: Chip