Predsedníčka, dve ministerky a vnútorný okruh kancelára Merza
Spiegel ako prvý zverejnil v utorok 22. apríla, že obeťou sa stala Julia Klöckner — predsedníčka Bundestagu a členka prezídia CDU, ktoré komunikuje cez skupinový chat v Signale aj s kancelárom Friedrichom Merzom. SecurityAffairs ↗ V piatok 25. apríla rovnaký magazín pridal mená dvoch ministeriek: Vereny Hubertz (SPD, stavebníctvo) a Karin Prien (CDU, vzdelávanie a rodina). Hovorcovia oboch rezortov pre Spiegel útoky odmietli potvrdiť. Euronews ↗Pracovníci Bundesamt für Verfassungsschutz (BfV) — nemeckej domácej kontrarozviedky — podľa Spiegelu osobne preverovali kancelárovo zariadenie. Na Merzovom Signal účte žiadne anomálie nenašli. Euronews ↗ Postihnuté sú frakcie naprieč spektrom — CDU, SPD aj Die Linke priznali svojich poslancov; medzi obeťami sú ďalej úradníci, diplomati, vojaci NATO a novinári. Courthouse News ↗
Mechanizmus: zneužitie funkcie „linked devices"
Útok nelámal Signalovu šifrovanú komunikáciu — naopak, využíval legitímnu funkciu „prepojených zariadení", ktorá umožňuje používať jeden účet na viacerých zariadeniach súčasne. The Hacker News ↗ Útočníci posielali správy vydávajúce sa za podporu Signalu, falošný skupinový chat CDU alebo bezpečnostné upozornenia s QR kódom. Pri zoskenovaní QR kódu sa do účtu obete pripojilo druhé zariadenie ovládané útočníkom — a útočník mohol prijímať nové správy v reálnom čase. Google TIG ↗V druhom variante útoku obeť dostala výzvu zadať PIN alebo otvoriť odkaz; po úspešnom oklamaní obete získal útočník prístup k chatom, skupinám a zdieľaným fotkám a súborom — a mohol sa za obeť aj vydávať. Courthouse News ↗ BfV a Bundesamt für Sicherheit in der Informationstechnik (BSI) varovali pred touto technikou už vo februári; varovanie minulý týždeň obnovili. Euronews ↗
Atribúcia: medzi „štátnym aktérom" a Ruskom
Oficiálna nemecká línia je opatrná. Hovorkyňa BMI v piatok hovorila o útoku „pravdepodobne vedenom štátnym aktérom" — bez menovania konkrétnej krajiny. Generalbundesanwalt vyšetruje pre „prvotné podozrenie zo špionáže", takisto bez verejnej atribúcie. Courthouse News ↗ BfV vo svojom upozornení frakciám Bundestagu hovorí o „štátom riadenom kybernetickom aktérovi" a obáva sa, že cez kompromitované účty „masívne odtekajú citlivé informácie do Ruska". Euronews ↗Politickú atribúciu posunul ďalej Marc Henrichmann (CDU), predseda parlamentnej komisie pre dohľad nad tajnými službami (PKGr). „Posledný phishingový pokus z Ruska proti nemeckým politikom a novinárom je budíček pre nás všetkých," povedal verejnoprávnej televízii ZDF. Euronews ↗ Holandská civilná tajná služba AIVD vlnu phishingových útokov na Signal už skôr napojila na „ruských štátnych aktérov". Handelsblatt ↗
Technický kontext ruskú stopu výrazne posilňuje. Microsoft Threat Intelligence zaznamenal kampaň skupiny COLDRIVER (známej aj ako Star Blizzard), ktorú západné spravodajské služby — vrátane britského NCSC, americkej CISA a FBI — od decembra 2023 pripisujú Centru 18 ruskej Federálnej bezpečnostnej služby (FSB). CISA ↗ Google Threat Intelligence Group identifikoval paralelnú činnosť klastrov UNC5792 a UNC4221, ktoré tiež viaže na ruskú štátnu rozviedku. Google TIG ↗ Moskva akúkoľvek zodpovednosť odmieta. Courthouse News ↗
Reakcia: Bundestag varuje, debata o desktopovej verzii
Vedenie Bundestagu — konkrétne odbor digitalizácie — tento týždeň rozoslalo bezpečnostné upozornenie všetkým poslancom, informoval Berliner Morgenpost. Euronews ↗ Podpredsedníčka Bundestagu Andrea Lindholz (CSU) pre Politico vylúčila úplný zákaz Signalu — poslanci sú podľa nej slobodní v rozhodovaní —, no parlament zvažuje obmedziť aspoň desktopovú verziu aplikácie na služobných počítačoch. Euronews ↗Konstantin von Notz (Zelení), podpredseda PKGr, varoval pre AFP, že „tmavé číslo obetí v nadchádzajúcich dňoch ďalej porastie". Pridal aj vetu o širšom riziku pre parlamentnú komunikáciu: „V tejto chvíli nikto nevie s istotou povedať, či je integrita komunikácie poslancov ešte zaručená." Courthouse News ↗
Širší kontext: séria hybridných aktivít
Aféra okolo Signalu nie je izolovaný incident. Začiatkom apríla nemecké tajné služby obvinili hackerov napojených na ruskú vojenskú rozviedku z infiltrácie internetových routrov pre zber citlivých dát. Tá istá skupina je dávaná do súvisu aj s útokmi proti riadeniu leteckej prevádzky a so šírením dezinformácií pred minuloročnými voľbami. Courthouse News ↗Konkrétny precedens phishingu cez Signal v Nemecku zaznamenal Spiegel už v marci, keď útok zasiahol bývalého viceprezidenta nemeckej rozviedky BND Arndta Freytaga von Loringhovena — spoluautora knihy „Putins Angriff auf Deutschland". Útočníci sa vydávali za podporu Signalu a žiadali jeho PIN; podarilo sa im preniknúť do účtu a rozosielať škodlivé odkazy jeho kontaktom. SecurityAffairs ↗
Prečítajte si tiež: Nemecko si predvolalo ruského veľvyslanca pre hybridné akcie
Čo sleduje hotinfo
- Rozsah obetí — koľko z 300+ verejne potvrdených, ďalšie ministerstvá/poslanci (Spiegel, Tagesspiegel, Politico)
- Verejná atribúcia Berlína — BMI/BfV oficiálne pomenuje Rusko alebo „štátnym aktérom"
- Politické dôsledky — rozhodnutie Bundestagu o desktopovej Signal verzii (Lindholz CSU)
- Technická forenzia — APT skupina (COLDRIVER/Star Blizzard, UNC5792, UNC4221), Microsoft TI / Google TIG
- Reakcia Moskvy — popretie cez MID alebo diplomatická reakcia (PNG zo strany Berlína?)
- Loringhoven a iní zasiahnutí ex-BND — ďalšie incidenty proti bývalým spravodajcom
