Der Messenger-Dienst Signal warnt vor einer Reihe gezielter Phishing-Angriffe, bei denen Konten einzelner Nutzer übernommen wurden. Betroffen waren laut den Entwicklern unter anderem Regierungsbeamte und Journalisten.

Nach Angaben der Anbieter in einem Signal-Post wurde weder die Verschlüsselung noch die Infrastruktur von Signal kompromittiert. Stattdessen setzten die Angreifer auf aufwendige Phishing-Kampagnen und Social-Engineering-Methoden, um Nutzer zur Preisgabe sensibler Zugangsdaten zu bewegen.

Bei den Angriffen gaben sich die Täter etwa als vertrauenswürdige Kontakte oder angebliche Dienste aus. In einigen Fällen wurde beispielsweise ein angeblicher „Signal Support Bot“ genutzt – ein Dienst, der in Wirklichkeit nicht existiert. Ziel dieser Täuschung war es, Nutzer zur Weitergabe ihres SMS-Verifizierungscodes oder ihrer Signal-PIN zu verleiten und so Zugriff auf ihre Konten zu erhalten.

Phishing-Versuch mit gefälschtem Support-Bot. Quelle: Signal

Die Entwickler betonen, dass der SMS-Verifizierungscode ausschließlich bei der erstmaligen Anmeldung in der Signal-App benötigt wird. Nutzer sollten diesen Code ebenso wie ihre PIN niemals an Dritte weitergeben.

Zudem stellt das Unternehmen klar: Der Signal-Support kontaktiert Nutzer niemals per In-App-Nachricht, SMS oder über soziale Netzwerke, um Verifizierungscodes oder PINs anzufordern. Wer danach gefragt wird, ist mit hoher Wahrscheinlichkeit Ziel eines Betrugsversuchs.

Nach Angaben der Entwickler arbeitet Signal kontinuierlich daran, das Risiko solcher Angriffe durch Hinweise in der App und Anpassungen der Benutzeroberfläche zu reduzieren. Dennoch bleibe die Aufmerksamkeit der Nutzer der wichtigste Schutz gegen Phishing-Attacken.