Serviços de informações dos Países Baixos alertaram para uma campanha global de ciberespionagem atribuída a hackers ligados ao Kremlin que tem como alvo funcionários públicos, militares e outras figuras consideradas de interesse para o governo russo. O ataque está a ser conduzido através das aplicações de mensagens WhatsApp e Signal, amplamente utilizadas por responsáveis governamentais em vários países.
Num aviso público conjunto divulgado esta segunda-feira, os serviços de informações militares e a agência de segurança interna neerlandesa referem que a operação visa enganar os utilizadores para que revelem códigos de segurança das aplicações de mensagens, permitindo assim aos atacantes aceder às suas comunicações privadas.
De acordo com as autoridades neerlandesas, os atacantes recorrem a técnicas de engenharia social para convencer as vítimas a fornecer os códigos PIN utilizados para autenticar as contas nas aplicações Signal e WhatsApp.
Uma das principais estratégias identificadas consiste em fazer-se passar por um falso chatbot de apoio técnico do Signal. Através desta abordagem fraudulenta, os hackers tentam persuadir os utilizadores a partilhar os códigos de verificação, o que lhes permitiria assumir o controlo da conta da vítima.
Uma vez obtido acesso à conta, os atacantes podem ler mensagens recebidas, acompanhar conversas em grupos e monitorizar comunicações em tempo real.
Os investigadores indicam ainda que os responsáveis pela campanha exploraram também a funcionalidade de “dispositivos associados” presente nas duas aplicações. Esta ferramenta permite ligar vários dispositivos à mesma conta e, quando utilizada de forma maliciosa, pode permitir que um equipamento controlado pelos atacantes seja ligado à conta da vítima sem que esta se aperceba, possibilitando a monitorização silenciosa das mensagens.
O aviso divulgado pelas autoridades neerlandesas não especifica quando terá começado a campanha de ciberataques.
Segundo os serviços de informações dos Países Baixos, a operação tem como principais alvos funcionários governamentais, militares e outras personalidades consideradas relevantes para os interesses estratégicos da Rússia.
Entre os visados encontram-se também jornalistas e outras pessoas que, de alguma forma, possam ser consideradas de interesse para o governo russo.
As autoridades sublinham, contudo, que os ataques têm visado contas individuais e não as próprias aplicações de mensagens. Ou seja, não há indícios de que o WhatsApp ou o Signal tenham sido comprometidos ao nível da sua infraestrutura ou segurança global.
Aplicações são amplamente usadas por autoridades
O Signal é amplamente utilizado por responsáveis governamentais e políticos como canal de comunicação considerado seguro e independente.
Desde 2020 que esta aplicação é recomendada às autoridades da União Europeia para comunicações externas, devido às suas características de segurança, incluindo a encriptação de ponta a ponta.
Ainda assim, os serviços de informações alertam que essas ferramentas não devem ser utilizadas para transmitir informações sensíveis ou classificadas.
“Apesar de oferecerem encriptação de ponta a ponta, aplicações de mensagens como o Signal e o WhatsApp não devem ser usadas como canais para informação classificada, confidencial ou sensível”, afirmou Peter Reesink, diretor do serviço de informações militares dos Países Baixos.
Debate sobre segurança de aplicações intensificou-se recentemente
A utilização destas aplicações para comunicações sensíveis tem sido objeto de debate em vários países.
No ano passado, o secretário da Defesa dos Estados Unidos, Pete Hegseth, e outros altos responsáveis norte-americanos foram alvo de críticas por utilizarem o Signal para trocar informações classificadas. O episódio ficou conhecido como “Signalgate”.
O caso voltou a levantar dúvidas sobre a adequação destas plataformas para tratar informação sensível em contextos governamentais.
WhatsApp alerta utilizadores para não partilharem códigos
Contactada sobre o caso, a empresa responsável pelo WhatsApp afirmou que continua a desenvolver mecanismos destinados a proteger os utilizadores contra ameaças online.
Joshua Breckman, diretor de comunicação da plataforma, sublinhou que os utilizadores nunca devem partilhar os códigos de verificação das suas contas.
A empresa recorda que esses códigos, normalmente compostos por seis dígitos, são destinados exclusivamente ao processo de autenticação do utilizador e não devem ser divulgados a terceiros.
Até ao momento, a aplicação Signal não respondeu a pedidos de comentário sobre o alerta divulgado pelas autoridades neerlandesas.
Também o governo russo não reagiu de imediato às acusações relacionadas com esta campanha de ciberespionagem.
