לפי המודיעין ההולנדי: האקרים רוסים משתלטים על חשבונות Signal ו-WhatsApp

שירותי הביון ההולנדיים AIVD ו-MIVD הזהירו ב-9 במרץ 2026 מקמפיין רוסי נרחב. הקמפיין נועד להשתלט על חשבונות Signal ו-WhatsApp. המטרות הן בכירים, פקידי ממשל ואנשי צבא, ובהם עובדי ממשלה הולנדים. השירותים מעריכים שגם עיתונאים עשויים להיות יעד.

ההשתלטות אינה מנצלת פרצה באפליקציות, והיא אינה פורצת את ההצפנה. התוקפים משתמשים בתכונות לגיטימיות של האפליקציות ומשלבים הנדסה חברתית. מנהלת AIVD, סימונה סמיט, אמרה שהתוקפים לא פרצו ל-Signal או ל-WhatsApp בכללותן. הסכנה היא לחשבונות של משתמשים בודדים.

AIVD: השיטה הראשונה היא התחזות לצ'אטבוט התמיכה של Signal

הקורבן מקבל הודעה, לכאורה מ-Signal Security Support Chatbot. ההודעה טוענת שהבוט זיהה פעילות חשודה בחשבון ושיש חשש לדליפת מידע. כדי למנוע זאת, היא מבקשת לעבור אימות ולמסור קוד.

אחרי שהקורבן מאשר את השיחה, התוקף מבקש שני דברים. הראשון הוא קוד האימות שמגיע ב-SMS מ-Signal, בעקבות ניסיון הרשמה שהתוקף עצמו הפעיל. השני הוא ה-PIN שהקורבן הגדיר ב-Signal. עם ה-PIN התוקף עוקף גם את Registration Lock, נעילת ההרשמה של Signal.

התוקף מחליף את מספר הטלפון שמקושר לחשבון למספר שלו. כך הוא מקבל גישה לאנשי הקשר, להודעות חדשות ולשיחות קבוצתיות. הוא גם יכול לשלוח הודעות בשם הקורבן.

הקורבן נעול בחוץ. הוא יכול להירשם מחדש עם אותו מספר ולקבל בחזרה את היסטוריית השיחות ששמורה בטלפון. לכן הוא עלול לחשוב שדבר לא קרה. השירותים מדגישים שהנחה כזאת עלולה להיות שגויה.

AIVD: השיטה השנייה היא קישור מכשירים וקודי QR

התוקף משכנע את הקורבן לסרוק קוד QR או ללחוץ על קישור. הם נראים כמו הצטרפות לקבוצה. בפועל הם מקשרים את מכשיר התוקף לחשבון הקורבן.

ב-WhatsApp, לפי AIVD, התוקף משתמש בעיקר בתכונת המכשירים המקושרים. הוא עושה זאת דרך הזמנות זדוניות להצטרף לקבוצות.

המכשיר המקושר נותן גישה מלאה לשיחות, לרוב כולל ההיסטוריה. הוא גם מאפשר לשלוח הודעות בשם הקורבן. הקורבן ממשיך להשתמש בחשבון, ולכן בדרך כלל אינו שם לב.

איך לזהות חשבון שהותקף: כפילויות בקבוצות ומכשירים זרים

המסמך ההולנדי מציע בדיקה פשוטה. חפשו בקבוצות אדם שמופיע פעמיים, בשם זהה או דומה. כפילות כזאת עשויה להעיד על חשבון שהותקף, או על חשבון חדש שהקורבן פתח.

שימו לב גם לחברים שאיש לא מכיר. התוקף עשוי לשנות שם של חשבון לשם כמו Deleted account. כשחשבון הופך באמת ל-Deleted account, הקבוצה לא מקבלת התראה.

אם יש חשד, דווחו למחלקת אבטחת המידע בארגון. אמתו את הדבר בערוץ אחר, כמו טלפון או דוא״ל. אם הכפילות לא לגיטימית, מנהל הקבוצה צריך להסיר את שני החשבונות. הבעלים האמיתי יוכל להצטרף שוב.

ל-Signal אין גורם מרכזי ששולט בחשבונות. לכן אין דרך להחזיר או להשבית חשבון שנשלט בידי תוקף. לדברי השירותים, האובדן בלתי הפיך, והנזק עלול להימשך אם לא מודיעים לכל אנשי הקשר.

מה קרה מאז

ב-20 במרץ פרסמו FBI ו-CISA הודעה לציבור על קמפיין דומה. הן ייחסו אותו למודיעין הרוסי, ואמרו שנפגעו אלפי חשבונות בעולם. לפי ההודעה, הקמפיין פוגע בעיקר ב-Signal, ושיטות כאלה יכולות לפגוע גם באפליקציות אחרות.

עוד ב-GEEKLIK: WhatsApp פתחה שמירת שמות משתמש: ליצור קשר בלי למסור מספר טלפון

המקור המלא: ההודעה של AIVD ושל MIVD.

מה הלאה

השירותים ההולנדיים מזהירים שהתוקפים עשויים לנסח הודעות אחרות בעתיד. ההודעה על הבוט היא רק הדוגמה הנפוצה ביותר, בהערכת השירותים.

לכן אין צורך לזכור נוסח מסוים. מספיק לזכור כלל אחד: לא מוסרים קודים ולא סורקים קודי QR שלא ביקשתם.