Signal正式确认，一波针对性的钓鱼攻击活动已导致包括记者和政府官员在内的高知名度用户账户被成功接管。
这款加密信息服务明确表示，其核心基础设施和端到端加密协议仍然完好无损，完全未被攻破。威胁行为者并非利用技术漏洞，而是通过直接操纵人为因素来绕过安全边界。
这些针对性攻击活动凸显了一个日益增长的趋势：威胁行为者正将焦点从复杂的软件漏洞利用转向利用用户信任。一旦攻击者成功使用受害者的手机号码配置新设备，他们就能冒充目标并与目标联系人进行通信，这给处理敏感信息的个人带来了严重的隐私风险。
攻击手法与社会工程学
威胁行为者正通过极具迷惑性的社会工程学操作实施这些账户接管。攻击者会系统性地冒充受信任的实体，其中最值得注意的手段是利用伪造的“Signal支持机器人”与潜在目标发起接触。
通过这些欺骗性通信，受害者被诱导泄露设备配置所需的关键验证数据。该攻击活动的主要目的是窃取用户的短信验证码和私人Signal PIN码。
Signal强调，官方支持代表绝不会通过应用内消息、短信或社交媒体主动联系用户索要验证凭证。该公司指出，短信验证码仅在Signal应用程序的初始注册过程中严格要求提供。
该平台积极警告用户不要分享这些详细信息，并在初始注册时明确指出，任何外部索取Signal相关验证码的请求都肯定是骗局。
尽管Signal正在持续开发技术防护措施并改进界面以降低这些风险，但该公司指出，用户保持警惕仍然是最关键的防御机制。
安全分析师强烈建议高风险目标严格执行操作安全规范，以防止未经授权的设备配置。
