El ciberespionaje Signal ha comprometido miles de cuentas mediante una campaña de phishing rusa. El FBI se lo confirmó esta misma semana a un periodista de SpyTalk: su cuenta estaba en manos del FSB. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic. Aquí no hay avión, hay un mensaje falso de soporte técnico.
El aviso no es nuevo. En marzo, el FBI publicó una alerta que no generó la alarma debida; en junio, la atribución al FSB fue explícita. Los objetivos son individuos de alto valor de inteligencia: exfuncionarios, militares, figuras políticas y periodistas. Usted no necesita ser un alto cargo para aparecer en esa lista. Tampoco le hace falta ser un espía profesional. Basta con hablar con una fuente, con un funcionario o con un soldado.
Cómo caen los periodistas: anatomía de un phishing de FSB
El caso del reportero de SpyTalk ilustra el tradecraft de la operación. El 29 de mayo apareció en su Signal un mensaje del supuesto ‘Signal Support’ con el logotipo azul de la aplicación. Advertía de un inicio de sesión desde un dispositivo nuevo y pedía responder que no había sido él. Cuatro días después, el 3 de junio, llegó el aviso que lo cambió todo: ‘Warning: you did not enter your recovery key. Your account will be deleted’. Si no pegaba su recovery key, la cuenta sería eliminada. El periodista lo reconoce: lo hizo.
Ese recovery key era justo lo que el atacante necesitaba para duplicar la cuenta en otro dispositivo. Con ese acceso, los agentes leen mensajes, copian contactos y envían nuevos señuelos. La alerta federal precisa que la campaña global ha permitido el acceso no autorizado a miles de aplicaciones de mensajería, con Signal como objetivo prioritario. WhatsApp tampoco se libra de la presión, según advierte la Unión Europea.
La atribución no es una sospecha de think tank. El director del FBI, Kash Patel, publicó en redes la advertencia y el comunicado de junio señaló a oficiales del FSB embebidos con la Guardia Fronteriza y a otros al servicio de las agencias militares rusas. Los avisos de marzo y junio llevan meses abiertos, pero han saltado por los aires ahora. Sigo de cerca a este adversario desde hace años.
La trampa funciona porque se disfraza de aviso de seguridad y empuja a entregar la llave maestra sin un solo cruce de correo electrónico.
El FBI ya lo había advertido: una campaña global y activa
Aquel primer aviso de marzo apuntaba a una campaña global con miles de aplicaciones comprometidas. La alerta pública del FBI identificó a periodistas, exfuncionarios, militares y figuras políticas como objetivos prioritarios. En junio, la oficina federal citó por primera vez al FSB por su nombre. El organismo recordó que una cuenta comprometida permite leer conversaciones y realizar nuevos ataques de phishing contra la agenda de contactos del objetivo.
La reparación, afortunadamente, no exige apagar el móvil para siempre. La agente que llamó al reportero le guio para crear una nueva recovery key y un nuevo PIN en los ajustes de Signal. El FBI pide a toda víctima que denuncie ante el IC3 y que revise las guías de CISA sobre phishing y movilidad segura. Con veinte minutos por delante, cualquier usuario puede blindar su cuenta.
No es un problema periférico. Steven Adair, presidente de la firma de ciberseguridad Volexity, confesó que en en un solo semestre del año pasado su equipo detectó más brechas reales que en toda la década anterior. La cita no es hipérbole. Le adelanto que la caída de una sola cuenta puede arrastrar a toda una red de fuentes. Ya lo vimos en 2016, cuando la misma disciplina de estado penetró los correos del Partido Demócrata.
Dossier Moncloa: Ojos en la Sombra
Lo veo como una mutación del ciberespionaje ruso: ya no se conforma con servidores de partidos ni con agencias de inteligencia. El FSB ha ido a por el eslabón más débil: la mensajería personal. El vector de amenaza es un phishing dirigido contra cuentas Signal de personas con acceso a información valiosa, periodistas y exfuncionarios, entre otros perfiles. Es una infiltración en toda regla, aunque el ecosistema atacado no sea una red militar.
Las agencias implicadas son claras. El servicio atacante es el FSB ruso; los defensores son el FBI y CISA, con la Unión Europea monitorizando de cerca. El CNI y el CCN-CERT monitorizan patrones similares desde hace tiempo. En mi opinión, el riesgo de que esta técnica migre a la frontera sur o a las redes que operan en suelo español es real. No hace falta un zero-day exótico: basta un aviso falso de soporte técnico.
El precedente histórico está en la injerencia del 2016 contra el Partido Demócrata, pero hay una diferencia: entonces se atacó una infraestructura central; ahora se ataca a individuos y a sus agendas. Estimo que el material comprometido es de nivel Confidencial en cuanto al acceso a fuentes periodísticas y a listas de contactos sensibles. Nadie sabe cuántas capturas quedaron fuera del radar. Eso me obliga a ser cauto con la atribución absoluta, aunque la firma del FSB aparece en la alerta oficial.
He escrito en alguna ocasión que en España hay 8.000 infraestructuras críticas y atacables a través de internet. No es una frase de pánico; es una advertencia de manual. Si usted trabaja con información sensible, sea premio mayor.
El próximo informe técnico de la Unión Europea o una actualización del IC3 pueden dar la dimensión real del problema. Si tiene Signal, tómese cinco minutos. Regenera su recovery key y su PIN. No me lo agradezca ahora.
