تحذير FBI: قراصنة روس يستهدفون مفاتيح استعادة حسابات Signal السرية

مقدمة تحليلية

أصدر مكتب التحقيقات الفيدرالي (FBI) ووكالة الأمن السيبراني وأمن البنية التحتية (CISA) تحذيراً عاجلاً يكشف عن تطور خطير في حملة تصيد تستهدف مستخدمي تطبيق Signal للمراسلة المشفرة. فبعد تحذير سابق في مارس حول استهداف حسابات Signal بواسطة قراصنة روس، أكدت الوكالتان أن المهاجمين أضافوا خطوة جديدة وأكثر فتكاً: خداع الضحايا للحصول على مفاتيح استعادة النسخ الاحتياطية (Backup Recovery Keys) الخاصة بهم. هذه الخطوة تمثل تصعيداً كبيراً، حيث أن الحصول على هذا المفتاح يمنح المهاجمين وصولاً كاملاً وغير مقيد إلى سجل الرسائل الخاصة والجماعية للضحية، بالإضافة إلى القدرة على التحكم في الحساب بشكل دائم. تستهدف هذه الحملة، التي تُنسب إلى أجهزة استخبارات روسية متعددة، أفراداً ذوي قيمة استخباراتية عالية، بما في ذلك مسؤولون حكوميون حاليون وسابقون في الولايات المتحدة ودولياً، وأفراد عسكريون، وشخصيات سياسية، وصحفيون، ومسؤولون في أوكرانيا. يشير التحذير السابق إلى أن الآلاف من الحسابات قد تم اختراقها بالفعل على مستوى العالم. هذا التكتيك الجديد لا يكسر تشفير Signal نفسه، بل يستغل نقطة الضعف البشرية من خلال الهندسة الاجتماعية، مما يؤكد أن العنصر البشري يظل الحلقة الأضعف حتى في أكثر أنظمة الاتصالات أماناً.

التحليل التقني

تعتمد الحملة الجديدة بشكل أساسي على الهندسة الاجتماعية المتطورة، حيث يتظاهر المهاجمون بأنهم دعم Signal. في المراحل السابقة من الهجوم، كان المهاجمون يطلبون رموز التحقق عبر الرسائل النصية القصيرة (SMS verification codes) أو أرقام التعريف الشخصية للحساب (account PINs)، أو يستخدمون روابط دعوة جماعية مزورة تربط جهاز المهاجم سراً بحساب الضحية. لكن التكتيك الأحدث والأكثر خطورة يركز على استغلال ميزة النسخ الاحتياطي في Signal. تفاصيل الهجوم تشمل الخطوات التالية:

• التصيد المستهدف: يتلقى الضحايا رسائل تصيد داخل التطبيق، تظهر وكأنها من دعم Signal الرسمي. هذه الرسائل مصممة لخلق إحساس بالإلحاح أو الضرورة.
• طلب مفتاح الاستعادة: تُوجّه الرسائل الضحية إلى تمكين ميزة النسخ الاحتياطي في Signal، ثم فتح شاشة مفتاح الاستعادة (Recovery Key)، ونسخ المفتاح ولصقه في نافذة الدردشة مع المهاجم.
• الغطاء الزائف: يتم تقديم طلب مفتاح الاستعادة تحت ستار تحديث إلزامي للمصادقة الثنائية أو كـ"إصلاح عاجل لاستعادة البيانات" لمنع فقدان الرسائل المزعوم.
• التأثير الكارثي: بمجرد حصول المهاجم على مفتاح الاستعادة، يمكنه القيام بما يلي:
  • استعادة النسخ الاحتياطية: استعادة نسخة احتياطية كاملة للحساب، مما يتيح الوصول إلى جميع سجلات الرسائل السابقة والحالية، سواء الفردية أو الجماعية.
  • الاستيلاء على الحساب: السيطرة الكاملة على حساب الضحية.
  • استمرارية الوصول: المفتاح المستعاد يظل فعالاً. حتى لو قام الضحية بإنشاء حساب جديد بنفس رقم الهاتف، يمكن استخدام المفتاح القديم ضده.
• أسماء التتبع العامة: أضاف التحذير المحدث، PSA I-062626-PSA، اسمي تتبع عامين جديدين: UNC5792 و UNC4221، وكلاهما يرتبط بخدمات الاستخبارات الروسية (RIS)، بما في ذلك ضباط FSB العاملين مع حرس الحدود FSB وآخرين في الخدمات العسكرية الروسية.

من المهم التأكيد أن هذا الهجوم لا يستغل أي ثغرات أمنية في تشفير Signal القوي end-to-end encryption. التشفير يبقى سليماً، لكن المهاجمين يتجاوزون هذا الأمان باستهداف المستخدم نفسه، مستخدمين ميزة مشروعة (النسخ الاحتياطي) بطريقة احتيالية. الحل الوحيد الفعال هو توليد مفتاح استعادة جديد في إعدادات Signal، مما يبطل المفتاح القديم ويمنع استخدامه في استعادة النسخ الاحتياطية المستقبلية، مع التسليم بأن أي بيانات تم سحبها بالفعل قد تم اختراقها.

السياق وتأثير السوق

ليست هذه هي المرة الأولى التي تستهدف فيها أجهزة الاستخبارات الروسية، وغيرها من الجهات الخبيثة، منصات الاتصالات الآمنة. ففي أوائل عام 2025، وثقت مجموعة Google Threat Intelligence Group أول مرة استغلال UNC5792 لميزة الأجهزة المرتبطة في Signal، وقد ظهرت نفس التكتيكات لاحقاً ضد WhatsApp و Telegram، مما يشير إلى أن الجهات الفاعلة تتكيف وتغير أساليبها باستمرار لمواكبة التحديثات الأمنية. هذا التحذير المحدث من FBI و CISA يعد بمثابة تأكيد لتطور التكتيكات التي كان التحذير السابق في مارس 2026 قد تنبأ بها بالفعل، حيث انتقل التركيز من مطاردة الرموز لمرة واحدة إلى الاستيلاء على المفتاح الذي يفتح الأرشيف بأكمله. تتزامن هذه الأنشطة مع تحذيرات سابقة من وكالات استخبارات أوروبية، بما في ذلك وكالة المخابرات الهولندية (AIVD و MIVD)، ووكالتي BfV و BSI الألمانيتين، والوكالة الوطنية الفرنسية لأمن أنظمة المعلومات (ANSSI) في وقت سابق من هذا العام. هذا التضافر في التحذيرات الدولية يؤكد مدى خطورة هذه الحملات وانتشارها، مشدداً على أن هذه ليست حوادث معزولة بل جزء من استراتيجية أوسع تستهدف جمع المعلومات الاستخباراتية. كما أن برنامج مكافآت من أجل العدالة (Rewards for Justice) التابع لوزارة الخارجية الأمريكية يعرض ما يصل إلى 10 ملايين دولار أمريكي مقابل معلومات عن UNC5792، مما يسلط الضوء على الأهمية الاستراتيجية لهؤلاء القراصنة والتهديد الذي يمثلونه للأمن القومي الأمريكي وحلفائه. إن استهداف الشخصيات ذات القيمة الاستخباراتية العالية، مثل المسؤولين الحكوميين والعسكريين والصحفيين، يشير إلى أن الهدف هو الحصول على معلومات حساسة أو التأثير على العمليات السياسية والعسكرية. التأثير على سوق تطبيقات المراسلة الآمنة كبير، حيث يمكن أن يؤدي إلى تآكل الثقة، خاصة إذا لم يتمكن المستخدمون من التمييز بين ضعف التطبيق نفسه واستغلال الثغرات البشرية. يجب على الشركات المطورة لهذه التطبيقات أن تستمر في تثقيف المستخدمين حول مخاطر الهندسة الاجتماعية وأن توفر آليات أمان إضافية لتقليل فرص الوقوع ضحية لهذه الهجمات.

رؤية Glitch4Techs

من منظور Glitch4Techs، يؤكد هذا التحذير مرة أخرى الحقيقة القاسية في الأمن السيبراني: لا يهم مدى قوة التشفير أو الأمان التقني لنظام ما، فالحلقة الأضعف غالباً ما تكون العنصر البشري. تطبيق Signal، بتشفيره end-to-end، يقدم مستوى عالياً من الخصوصية، لكن تصميم ميزة استعادة النسخ الاحتياطية، على الرغم من أهميتها، يمثل نقطة استغلال محتملة عند تعرض المستخدم للهندسة الاجتماعية. القيود الرئيسية هنا تكمن في قدرة المهاجمين على التكيف بسرعة. لقد رأينا تحولاً من استغلال الثغرات البسيطة (مثل الحصول على رموز SMS) إلى استهداف أصول أكثر قيمة (مثل مفتاح الاستعادة الذي يفتح تاريخ الحساب بأكمله). هذا يشير إلى أننا سنرى المزيد من التكتيكات التي تركز على خداع المستخدم بدلاً من كسر التشفير التقني المعقد. تثير هذه الهجمات مخاوف أمنية عميقة، خاصة بالنسبة للأفراد الذين يتعاملون مع معلومات حساسة. إن مجرد تسليم مفتاح الاستعادة يعني أن سنوات من المراسلات قد تقع في الأيدي الخطأ، مع تداعيات لا حصر لها على الأمن الشخصي والمهني وحتى الوطني. التنبؤات تشير إلى أن هذه التكتيكات ستستمر في التطور، مع اعتماد أساليب تصيد أكثر إقناعاً وتخصصاً، والتي قد تستفيد من تقنيات الذكاء الاصطناعي لخلق رسائل أكثر واقعية ومستهدفة. يجب على المستخدمين، وخاصة المستهدفين ذوي القيمة العالية، تبني عقلية الشك الدائم تجاه أي طلبات غير متوقعة للمعلومات الحساسة. نوصي بأن تتخذ جميع المنظمات والأفراد تدابير وقائية صارمة، بما في ذلك التدريب المستمر على الوعي الأمني، وتفعيل المصادقة الثنائية على جميع الحسابات (مع الحذر من الرسائل التي تطلب رموزها)، ومراجعة الأجهزة المرتبطة (Linked Devices) بانتظام، والأهم من ذلك، التعامل مع أي رسالة داخل التطبيق من "دعم Signal" على أنها محاولة اختراق محتملة. دعم Signal الحقيقي لن يطلب أبداً مفتاح الاستعادة أو رموز التحقق عبر الدردشة. هذا الهجوم يبرز أن الأمن ليس مجرد مسألة تقنية، بل هو نظام شامل يتطلب يقظة مستمرة من الجميع. يجب على كل مستخدم أن يكون خط الدفاع الأول ضد هذه التهديدات المتطورة.