US offers $10 million for info on group behind Signal and WhatsApp hacking spree

美国提供1000万美元悬赏 以获取Signal和WhatsApp黑客攻击行动幕后组织信息 - Ars Technica

丰厚悬赏

美国提供1000万美元悬赏 以获取Signal和WhatsApp黑客攻击行动幕后组织信息

由两个俄罗斯国家支持的组织发起的行动至少自3月起持续进行

Dan Goodin

–

2026年6月29日 下午6:05

|

22

放大镜在计算机二进制代码中发现了俄罗斯地图。俄罗斯网络黑客概念的插图

来源：Getty Images

按钮

文字设置

面板

正文文本

字号

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化至导航栏

联邦机构为提供信息以识别或定位一个俄罗斯国家网络组织的线索提供最高1000万美元的悬赏，该组织已入侵数千名调查记者和美国政府雇员的Signal和WhatsApp账户。

该行动至少自3月开始活跃，当时FBI发布警告称，与俄罗斯情报机构有关联的攻击者正在针对高价值目标发起钓鱼攻击活动。伪装成自动化支持通信的消息要求用户点击链接或提供验证码或账户密码。如果用户照做，他们会在不知情的情况下将攻击者的设备与自己的账户关联，或被完全接管账户并被锁定。

已有数千个账户被入侵

这样一来，攻击者可以阅读发送到被入侵账户的任何新消息。然而，Signal内置的安全功能阻止攻击者阅读之前的对话。这些消息发送给“具有高情报价值的个人，如现任和前任美国政府官员、军人、政治人物和记者”。

上周，FBI发布更新称该行动已升级。除了试图伪装成支持机器人诱导收件人将账户与攻击者设备关联外，消息还敦促用户按照此处的指引创建所有过往通信的备份。随后的跟进消息则指示目标发送用于加密存储在Signal服务器上的备份的长密码。这样一来，攻击者就能访问过往的Signal对话。更新称负责行动的两个俄罗斯政府组织被追踪为UNC5792和UNC4221。

其中一条消息的文本类似如下：

Signal在此声明，近期通过将第三方设备连接到账户的方式对用户进行黑客攻击的尝试愈发频繁。与美国政府及欧洲合作伙伴联合开展的调查显示，账户攻击是由来自伊朗和后苏联国家的黑客实施的。鉴于此，Signal更新了《服务条款》和《隐私政策》，并为用户引入强制性双重验证。为防止丢失消息和媒体，请设置Signal备份（设置 -> 备份 -> 启用备份 -> 查看恢复密钥 -> 复制到剪贴板 -> 下一步 -> 输入恢复密钥 -> 下一步 -> 继续 -> 选择备份方案）。点击弹出窗口中的“接受”按钮，并关注我们消息应用的安全更新。祝您安全，感谢您使用端到端加密的最安全消息应用。如有任何问题，请发送 /help

其他文本内容如下：

/help

重要行动：需要数据恢复 由于同步问题，您的Signal账户数据（消息和媒体）面临永久丢失的风险。为避免消息和媒体丢失：前往设置 -> 备份 -> 配置 -> 启用备份 -> 查看恢复密钥。将恢复密钥复制到剪贴板。将密钥粘贴到此聊天窗口。这将把现有备份与您的账户关联。若未执行此操作，可能导致无法访问账户及所有存储数据。

美国国务院周一表示，正在为任何参与此次行动人员的身份或位置信息提供最高1000万美元的悬赏。该悬赏由国务院“正义奖励计划”（RFJ）提供。该声明称，某些情况下攻击者正在滥用Signal的一项功能，该功能允许用户创建链接邀请他人加入群组讨论。

“根据此次悬赏，RFJ正在寻找与俄罗斯联邦安全局（FSB）边防部队关联的恶意网络组织UNC5792以及代表俄罗斯军方行动的恶意网络组织UNC4221的信息。”周一的声明中写道。“UNC5792已对美国政府官员、军方领导层及盟军人员的Signal和WhatsApp账户发起大规模钓鱼攻击。”声明继续指出：

在某些情况下，UNC5792成员篡改了合法的“群组邀请”页面，将用户重定向至恶意URL，从而将受控设备与受害者的Signal账户关联。尽管这些恶意网络活动并未利用平台加密保护中的任何安全漏洞，但已导致数千个个人商业消息应用账户受损。

RFJ表示，此次行动已导致数千个消息应用账户被入侵。

对许多人来说，美国情报人员、外交官或记者上当受骗的可能性似乎难以想象。但事实是，当某人因疲劳、睡眠不足或其他原因处于无防备状态时，只需片刻时间就可能对消息做出反应。尽管所需技术能力相对简单，钓鱼攻击仍是获取账户访问权限最有效的方式之一。

如果某人在回复中提供了备份密钥，必须生成新的备份恢复密钥。“为降低此风险，用户必须在设置中生成新的备份恢复密钥，此操作将使所有未来备份下载的先前密钥失效，”FBI上周的公告中表示。“但请注意，这并不能阻止攻击者已下载原始账户的备份。”

消息应用用户应注意以下事项：

• 合法的CMA支持服务不会在应用内请求验证码。CMA支持服务不会向用户发送用于“验证”或“恢复”账户的链接。在未确认请求来自合法CMA通信渠道前，绝不要提供验证码。

如往常一样，建议抵制此类信息中常传达的紧迫感。即使在回应合法请求时，等待额外一两个小时通常也不会产生任何惩罚。

Dan Goodin 是 Ars Technica 的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码方面的报道。在工作之余，他喜欢园艺、烹饪以及关注独立音乐场景。Dan 的办公地点在旧金山。你可以通过

here

在 Mastodon 和

在 Bluesky 上关注他。通过 Signal 与他联系，联系方式为 DanArs.82。

22 条评论