Hackers russos miram chave de backup do Signal para tomar contas e acessar histórico de conversas
O FBI e a CISA divulgaram uma atualização de um alerta publicado em março, detalhando uma nova fase de campanhas de phishing conduzidas por grupos de hackers ligados aos serviços de inteligência da Rússia. O foco continua sendo o sequestro de contas em aplicativos de mensagens criptografadas, como Signal e WhatsApp, mas com uma mudança decisiva na estratégia: agora os operadores estão tentando obter diretamente a Backup Recovery Key do Signal, a chave de recuperação usada para restaurar o histórico de mensagens a partir de backups.
Essa chave de recuperação é um elemento extremamente sensível do ecossistema do Signal. Ela funciona como um acesso mestre ao conteúdo armazenado em backup: se alguém consegue essa chave, pode restaurar o histórico de conversas privadas e de grupos em outro dispositivo, sem que a vítima necessariamente perceba de imediato. Segundo o alerta, basta que o usuário compartilhe essa chave uma única vez para que o invasor possa baixar o backup, ler mensagens antigas, acompanhar grupos e, em muitos casos, assumir o controle efetivo da conta.
O risco se agrava porque, em algumas situações, a mesma chave pode permanecer válida mesmo se o usuário excluir a conta e voltar a criar um perfil no Signal com o mesmo número de telefone. Isso significa que, mesmo que a vítima tente recuperar o controle após suspeitar de fraude, o dano ao sigilo das conversas passadas já terá ocorrido, e o acesso ao backup poderá continuar possível até que uma nova chave seja gerada.
As autoridades norte-americanas orientam que qualquer pessoa que desconfie ter exposto a Backup Recovery Key gere imediatamente uma nova chave nas configurações do aplicativo. Ao fazer isso, o usuário invalida a chave antiga para futuras restaurações de backup. No entanto, essa ação não apaga registros que já tenham sido baixados por criminosos nem desfaz o vazamento de informações que eles possam ter obtido no período em que a chave ainda estava válida.
No comunicado atualizado, identificado como PSA I-062626-PSA, são mencionados dois identificadores públicos de rastreamento que não estavam presentes no alerta de março: UNC5792 e UNC4221. O FBI atribui a esses nomes a atividade de múltiplos grupos associados aos serviços de inteligência russos, incluindo oficiais do FSB incorporados à Guarda de Fronteira, além de operadores que atuariam em apoio aos serviços militares do país. Em outras palavras, não se trata de ataques oportunistas ou puramente financeiros, mas de operações de interesse estratégico e de espionagem.
A campanha tem como alvo indivíduos classificados como de alto valor para inteligência: atuais e ex-funcionários de governos dos Estados Unidos e de outros países, militares, políticos, jornalistas, autoridades e figuras relevantes ligadas à Ucrânia. No alerta original, publicado em março, já havia a indicação de que milhares de contas em diferentes nações tinham sido comprometidas em uma operação com amplo alcance geográfico.
Toda a abordagem é fundamentada em engenharia social, isto é, na manipulação psicológica das vítimas. As mensagens de phishing são cuidadosamente construídas para se parecerem com comunicações legítimas de suporte do Signal e, muitas vezes, são redigidas em tom urgente, alegando problemas de segurança ou mudanças obrigatórias no sistema. Em ondas anteriores da campanha, os criminosos pediam códigos de verificação enviados por SMS, PINs de acesso ou exploravam convites adulterados de grupos, que, na prática, permitiam conectar de forma silenciosa um dispositivo controlado pelos invasores à conta do alvo.
Na etapa mais recente da ofensiva, o roteiro foi ajustado para explorar diretamente o sistema de backup. Os golpistas instruem a vítima a ativar o recurso de backup no Signal, acessar a Recovery Key gerada pelo aplicativo e colá-la na própria conversa com o suposto suporte. Em alguns exemplos descritos pelas autoridades, as mensagens fraudulentas falam de uma implantação obrigatória de autenticação em dois fatores ou de uma “correção emergencial” de recuperação de dados para impedir a perda de mensagens, criando um clima de pressão que leva o usuário a agir sem refletir.
É importante ressaltar que essa técnica não quebra a criptografia de ponta a ponta do Signal nem explora uma vulnerabilidade técnica direta no aplicativo. O FBI e a CISA enfatizam que os invasores obtêm acesso por meio do engano dos usuários, abusando de funcionalidades normais do sistema. A criptografia continua funcionando como projetado; o problema é que, quando a própria pessoa entrega voluntariamente códigos, PINs, senhas e chaves de backup, a barreira de proteção deixa de existir do ponto de vista prático.
Esse ponto é crucial, sobretudo porque aplicativos como Signal, WhatsApp e Telegram estão amplamente disseminados entre jornalistas, diplomatas, integrantes de forças militares, autoridades governamentais e profissionais envolvidos com temas políticos, econômicos e estratégicos sensíveis. Embora a criptografia reduza a exposição de dados em trânsito e dificulte interceptações técnicas tradicionais, ela não neutraliza ameaças baseadas em enganação, clonagem de contas, vinculação indevida de dispositivos e acesso a backups mal protegidos.
Como forma de reforçar a resposta à campanha, o programa Rewards for Justice, do Departamento de Estado dos Estados Unidos, oferece uma recompensa que pode chegar a 10 milhões de dólares por informações úteis sobre o UNC5792. O valor e a formalização dessa oferta deixam claro o grau de importância que o governo norte-americano atribui às atividades do grupo e sua conexão com operações de inteligência estrangeira.
A atuação desses hackers também coincide com alertas emitidos por órgãos de segurança e inteligência de diversos países europeus, incluindo serviços dos Países Baixos, Alemanha e França. Paralelamente, pesquisadores de grandes empresas de tecnologia já haviam documentado, no início de 2025, o uso malicioso do recurso de dispositivos vinculados do Signal por integrantes do UNC5792, bem como o emprego de táticas parecidas contra usuários de WhatsApp e Telegram, explorando o fato de que muitos não conferem cuidadosamente pedidos de verificação que recebem por mensagem.
Para usuários que possam ser alvos desse tipo de operação, a principal orientação é simples e rigorosa: qualquer mensagem dentro do aplicativo que se apresente como suporte oficial do Signal deve ser tratada como suspeita e, em princípio, maliciosa. O suporte legítimo não solicita códigos de verificação, PINs, senhas, chaves de backup ou Recovery Keys em conversas dentro do próprio app. Nenhum desses dados sensíveis deve ser copiado e colado em chats, independentemente de quem pareça estar do outro lado da tela.
Além de seguir esse cuidado básico, especialistas em segurança recomendam algumas práticas adicionais. A primeira é revisar com calma qualquer mensagem que alegue urgência em mudanças de segurança. Golpistas exploram justamente o medo de perder acesso ou dados para acelerar a reação das vítimas. Uma pausa de alguns minutos para conferir configurações, consultar canais oficiais do aplicativo ou falar com equipes internas de TI pode evitar um comprometimento grave.
Outro ponto crucial é entender claramente como funcionam as chaves e os sistemas de backup. Muitos usuários habilitam o backup sem se dar conta de que a Recovery Key é, de fato, uma “chave mestra” para toda a sua história de conversas. Ela deve ser guardada de forma offline, em local seguro, nunca compartilhada por meios digitais e, preferencialmente, anotada em papel ou armazenada em um gerenciador de senhas de confiança. Quanto mais pessoas tiverem acesso a essa chave, maior o potencial de vazamento.
Organizações que lidam com informações sensíveis – como redações jornalísticas, ONGs, escritórios de advocacia e equipes que atuam em contextos de conflito – precisam ir além da proteção individual e estabelecer políticas internas. Isso inclui treinamentos periódicos sobre phishing, simulações de ataques direcionados, orientações específicas sobre o uso de mensageiros criptografados e procedimentos claros para reportar mensagens suspeitas. O objetivo é reduzir a chance de que um único erro humano comprometa operações inteiras.
Também é recomendável limitar o uso de um mesmo número de telefone em múltiplos serviços críticos e, sempre que possível, combinar o Signal com outros mecanismos de segurança, como bloqueio por biometria, PIN complexo e alertas de novos logins ou dispositivos vinculados. Em ambientes de alto risco, alguns especialistas sugerem separar dispositivos por função: um aparelho exclusivo para comunicações sensíveis, menos exposto a aplicativos e serviços gerais, e outro para o uso cotidiano.
Outro aspecto muitas vezes ignorado é a exposição pública de contatos e rotinas. Quanto mais informações houver sobre um alvo – cargo, relações profissionais, aplicativos que utiliza, horários em que costuma responder mensagens – mais fácil se torna para um ator malicioso criar iscas críveis. Por isso, revisar a privacidade em redes sociais, limitar o compartilhamento de dados pessoais e evitar exibir detalhes sobre ferramentas de trabalho pode reduzir o potencial de ataques personalizados.
Por fim, é importante reconhecer que ataques de engenharia social, como os descritos no alerta do FBI e da CISA, tendem a evoluir com rapidez. Hoje o foco está na Backup Recovery Key do Signal; amanhã pode surgir outra tática, outro pretexto, outro tipo de credencial cobiçada. Manter-se informado sobre novas campanhas, atualizar continuamente práticas de segurança e adotar uma postura de desconfiança saudável diante de qualquer pedido incomum é, cada vez mais, uma condição básica para preservar a privacidade e a integridade das comunicações digitais.