Çevrimiçi bağlantı uygulaması Signal, uçtan uca şifrelemeyi destekliyor ve aramalarınızın günlüklerini tutmuyor. Bu, onu en inançlı ve en kapalılık odaklı iletileşme uygulamalarından biri haline getiriyor. Fakat, doğrulama hizmeti sağlayıcısı Twilio’ya yakın vakitte gerçekleştirilen bir kimlik avı saldırısı, Signal’in güvenliğini de önemli biçimde sarsmış durumda.
Bu durum, Twilio’nun Signal’e bir kimlik avı saldırısına uğradığını bildirmesiyle ortaya çıktı. Saldırgan, kimlik avı yoluyla Twilio’nun müşteri dayanak konsoluna erişmeyi başarmıştı. Bir Signal hesabına kayıtlı yaklaşık 1.900 kullanıcının telefon numaralarının da bu olayda açığa çıktığı bildirildi.
Soruşturma sırasındaki bulgular, saldırganın 1.900 telefon numarası ortasında açıkça üç numarayı aradığını ve hesabı yine kaydedilen bu üç kullanıcıdan birinin olayı Signal’e aslında bildirdiğini ortaya koydu.
Daha da kıymetlisi, Signal bir kopyasını saklamadığından, saldırganın rastgele bir bildiri geçmişine, profil bilgilerine yahut kullanıcıların kişi listelerine erişimi olması. Çünkü bunların hepsi kullanıcının aygıtında saklanıyor.
Saldırı Twilio tarafından kısa mühlet içinde durduruldu. Lakin bu kısa müddet, saldırganın 1.900 kişinin telefon numaralarını alması için kâfi oldu.
Twilio, araştırmasına yardımcı olmak için Signal ile birlikte çalışıyor. Ayrıyeten Signal, potansiyel olarak etkilenen 1.900 kullanıcının tümü için Signal’in tüm aygıtlarındaki kaydını kaldıracağını ve tercih ettikleri aygıtta telefon numaralarıyla Signal’i yine kaydetmelerini istediğini bildirdi.
Şirket, potansiyel olarak etkilenen tüm 1.900 kullanıcıyı direkt SMS yoluyla bilgilendirme sürecini başlattı.
