ABW ostrzega: tych ataków w Polsce jest coraz więcej. Nie pomoże nawet szyfrowanie

Agencja Bezpieczeństwa Wewnętrznego opublikowała „Raport o stanie bezpieczeństwa cyberprzestrzeni RP w 2025 roku”, przygotowany przez CSIRT GOV.

Jednym z szerzej opisanych wątków są zagrożenia związane z komunikatorami internetowymi. Zespół wskazuje, że kampanie tego typu były obserwowane już wcześniej, jednak w ubiegłym roku odnotowano wzrost liczby incydentów. 

Według autorów raportu jednym z powodów może być coraz skuteczniejsza ochrona tradycyjnej poczty elektronicznej. Organizacje inwestują w zabezpieczenia, szkolenia i mechanizmy wykrywające phishing w e-mailach, dlatego atakujący szukają innych kanałów dotarcia do użytkowników.

W 2025 roku na szerszą skalę zaczęli wykorzystywać do tego ogólnodostępne komunikatory. 

Nie trzeba łamać szyfrowania. Wystarczy oszukać użytkownika

Sam fakt, że komunikator wykorzystuje szyfrowanie end-to-end, nie oznacza, że jego użytkownik jest odporny na przejęcie konta.

CSIRT GOV podkreśla, że opisywany schemat nie polega na wykorzystaniu podatności w mechanizmach szyfrowania. Atakujący próbują nakłonić człowieka do dobrowolnego przekazania danych uwierzytelniających.

W raporcie wskazano, że szyfrowane komunikatory pozostają preferowanym sposobem prowadzenia poufnej komunikacji internetowej.

Problem pojawia się wtedy, gdy użytkownik zostaje przekonany do wykonania działania otwierającego przestępcy drogę do konta.

Autorzy zwracają też uwagę na ryzyko związane z przekazywaniem informacji służbowych za pomocą prywatnych urządzeń i kanałów pozostających poza kontrolą organizacji. 

Jak wygląda atak?

Szczegółowo opisany przez CSIRT GOV scenariusz dotyczy komunikatora Signal.

Atak może przebiegać w kilku krokach:

• atakujący zdobywa numer telefonu lub nazwę użytkownika potencjalnej ofiary;
• do użytkownika trafia wiadomość od konta podszywającego się np. pod „Signal Support";
• oszust informuje o rzekomej podejrzanej aktywności, próbie włamania albo konieczności weryfikacji konta;
• ofiara jest nakłaniana do przekazania kodu weryfikacyjnego oraz PIN-u;
• zdobyte dane umożliwiają zalogowanie się na konto użytkownika. 

Numer telefonu może pochodzić m.in. z wcześniejszych wycieków, zgromadzonych list czy źródeł dostępnych w darknecie. Alternatywnie możliwe jest skierowanie wiadomości do określonej nazwy użytkownika w Signal. 

Fałszywy „Signal Support” prosi o kody

Wiadomości obserwowane przez CSIRT GOV różniły się treścią, stylem i językiem. Były przygotowywane przede wszystkim po polsku oraz angielsku, ale wszystkie zmierzały do uzyskania danych potrzebnych do przejęcia konta. 

Oszuści przekonywali użytkownika, że na jego koncie wykryto „podejrzaną aktywność” albo próby przejęcia profilu.

Następnie pod pretekstem zabezpieczenia konta prosili o rozpoczęcie rozmowy z rzekomym wsparciem technicznym i przesłanie kodu weryfikacyjnego oraz PIN-u.

Jeżeli ofiara wykonywała polecenia, atakujący mógł zalogować się na jej konto. W analizowanych przez CSIRT GOV przypadkach prowadziło to jednocześnie do wylogowania prawowitego użytkownika. 

CSIRT GOV podkreśla, że prawdziwe wsparcie Signal nigdy nie prosi o przekazywanie:

• kodu PIN;
• sześciocyfrowego kodu aktywacyjnego otrzymanego w SMS-ie;
• danych uwierzytelniających na czacie;
• takich danych podczas rozmowy głosowej lub za pośrednictwem SMS-a. 

Każda podobna prośba powinna być traktowana jako próba wyłudzenia danych.

Przestępca może pozostać w grupie nawet po odzyskaniu konta

Samo uzyskanie dostępu do konta może być dopiero początkiem ataku. CSIRT GOV zaobserwował dwa podstawowe warianty dalszego działania. Pierwszy polegał na pełnym przejęciu profilu.

Atakujący:

• zmieniał numer telefonu przypisany do konta;
• ustawiał własny PIN;
• w ten sposób utrudniał prawowitemu użytkownikowi odzyskanie dostępu. 

Drugi scenariusz był mniej widoczny. Przestępca po uzyskaniu dostępu dodawał do grup użytkownika kolejne konto Signal pozostające pod jego kontrolą, często o nazwie podobnej do konta ofiary. Następnie nie musiał utrzymywać dostępu do pierwotnie zaatakowanego profilu.

W efekcie nawet po odzyskaniu konta przez prawowitego właściciela podstawiony użytkownik mógł nadal znajdować się np. w grupie pracowniczej i otrzymywać publikowane tam wiadomości. 

Takie działanie zwiększa również możliwość dalszej ekspansji ataku. Przejęte konto pozwala poznać kolejne osoby i przygotowywać wobec nich bardziej wiarygodne kampanie.

Wiadomość pochodząca od znanego współpracownika może wzbudzić znacznie mniej podejrzeń niż kontakt z całkowicie obcego profilu. 

Jak zabezpieczyć Signal?

CSIRT GOV przedstawił w raporcie szereg rekomendacji dla użytkowników komunikatora.

Wśród najważniejszych znalazły się:

• nieprzekazywanie PIN-u i kodów aktywacyjnych żadnym osobom proszącym o nie w wiadomości;
• zmiana PIN-u, jeżeli został wcześniej ujawniony;
• włączenie blokady rejestracji, która wymaga PIN-u przy ponownym rejestrowaniu numeru telefonu;
• ukrycie numeru telefonu przed innymi użytkownikami;
• regularne sprawdzanie połączonych urządzeń i usuwanie tych, których użytkownik nie rozpoznaje;
• weryfikowanie zmian numeru bezpieczeństwa rozmówcy innym kanałem komunikacji;
• ograniczenie możliwości dodawania nowych osób do grup wyłącznie do administratorów;
• regularne sprawdzanie składu grup i usuwanie nieznanych kont;
• korzystanie ze znikających wiadomości;
• włączenie blokady ekranu jako dodatkowego zabezpieczenia dostępu do rozmów. 

Szczególną uwagę warto zwrócić na komunikat o zmianie numeru bezpieczeństwa rozmówcy. Może on wynikać ze zmiany telefonu, numeru lub ponownej instalacji aplikacji, ale CSIRT GOV wskazuje, że jedną z możliwych przyczyn jest również przejęcie konta. 

Phishing wychodzi poza skrzynkę e-mail

Opisane kampanie są częścią szerszego trendu obserwowanego przez CSIRT GOV. W podsumowaniu sytuacji w cyberprzestrzeni RP zespół wskazuje, że phishing pozostawał w 2025 roku jednym z kluczowych wektorów ataku, ale coraz częściej był prowadzony poza tradycyjną pocztą elektroniczną.

Komunikatory stały się kolejnym kanałem dystrybucji socjotechniki, podczas gdy atakujący dostosowywali treść wiadomości do aktualnych wydarzeń społecznych, gospodarczych i politycznych. 

Raport podkreśla jednocześnie, że problem nie oznacza słabości samego szyfrowania stosowanego przez Signal czy inne podobne usługi. W praktyce łatwiejszą drogą może okazać się obejście zabezpieczeń technicznych poprzez człowieka.

Dlatego CSIRT GOV wskazuje zarówno na potrzebę wykorzystywania kontrolowanych kanałów komunikacji służbowej, jak i stałego budowania świadomości użytkowników.