Çevrimiçi bağlantı uygulaması Signal, uçtan uca şifrelemeyi destekliyor ve aramalarınızın günlüklerini tutmuyor. Bu, onu en inançlı ve en saklılık odaklı iletileşme uygulamalarından biri haline getiriyor. Lakin, doğrulama hizmeti sağlayıcısı Twilio’ya yakın vakitte gerçekleştirilen bir kimlik avı saldırısı, Signal’in güvenliğini de önemli biçimde sarsmış durumda.
Bu durum, Twilio’nun Signal’e bir kimlik avı saldırısına uğradığını bildirmesiyle ortaya çıktı. Saldırgan, kimlik avı yoluyla Twilio’nun müşteri takviye konsoluna erişmeyi başarmıştı. Bir Signal hesabına kayıtlı yaklaşık 1.900 kullanıcının telefon numaralarının da bu olayda açığa çıktığı bildirildi.
Soruşturma sırasındaki bulgular, saldırganın 1.900 telefon numarası ortasında açıkça üç numarayı aradığını ve hesabı tekrar kaydedilen bu üç kullanıcıdan birinin olayı Signal’e aslında bildirdiğini ortaya koydu.
Daha da değerlisi, Signal bir kopyasını saklamadığından, saldırganın rastgele bir bildiri geçmişine, profil bilgilerine yahut kullanıcıların kişi listelerine erişimi olması. Çünkü bunların hepsi kullanıcının aygıtında saklanıyor.
Saldırı Twilio tarafından kısa mühlet içinde durduruldu. Fakat bu kısa mühlet, saldırganın 1.900 kişinin telefon numaralarını alması için kâfi oldu.
Twilio, araştırmasına yardımcı olmak için Signal ile birlikte çalışıyor. Ayrıyeten Signal, potansiyel olarak etkilenen 1.900 kullanıcının tümü için Signal’in tüm aygıtlarındaki kaydını kaldıracağını ve tercih ettikleri aygıtta telefon numaralarıyla Signal’i tekrar kaydetmelerini istediğini bildirdi.
Şirket, potansiyel olarak etkilenen tüm 1.900 kullanıcıyı direkt SMS yoluyla bilgilendirme sürecini başlattı.