Při phishingu na Signalu si oběť sama připojí útočníkovo zařízení, varuje NÚKIB

Národní úřad pro kybernetickou a informační bezpečnost zveřejnil 4. září situační report o phishingových kampaních mířených na uživatele aplikace Signal a spolu s ním doporučení, jak si účet zabezpečit. Koncové šifrování, kvůli kterému si lidé Signal vybírají, zůstává tam, kde bylo. Útočníci ho neobcházejí, jen se snaží dostat oběť k tomu, aby jim dveře otevřela sama.

Zneužívá se funkce, která má usnadnit život

Signal umí jeden účet obsluhovat z několika zařízení. Na počítač nebo na tablet se účet napojí tak, že uživatel telefonem sejme QR kód; aplikace tomu říká připojená zařízení a povoluje jich nejvýš pět. Útočníkovi tedy stačí, aby oběť sejmula QR kód jeho, a ne svůj.

NÚKIB tuhle variantu označuje za primární hrozbu pro české uživatele a popisuje dvě podoby. První je zpráva tvářící se jako sdělení technické nebo bezpečnostní podpory Signalu, obvykle i s její grafikou. Druhá je QR kód vydávaný za pozvánku do skupiny. Obě mohou navíc pod smyšlenou záminkou vylákat PIN kód nebo obnovovací údaje. Vzácnější je scénář, ve kterém se útočník vydává za zájemce o videohovor a chce po oběti přihlášení do „ověřovacího portálu“ nebo zaslání autentizačního kódu; tam bývají terčem služby Microsoftu.

Kolik toho útočník uvidí, na tom se prameny neshodnou

Google Threat Intelligence Group popsala tenhle způsob útoku v únoru 2025 a napsala, že po úspěšném připojení chodí nové zprávy současně oběti i útočníkovi, v reálném čase. NÚKIB ve svém reportu jde dál: připojení podle něj umožňuje „příjem nových zpráv a potenciálně také získání obsahu starších konverzací“. Nápověda samotného Signalu dnes uvádí, že se při prvním nastavení připojeného zařízení z telefonu synchronizují všechny konverzace a média za posledních 45 dní.

Rozdíl mezi těmi popisy není akademický. Rozhoduje o tom, jestli je po odhalení kompromitovaná jen komunikace od okamžiku připojení, nebo i to, co bylo napsáno dřív. Ani jeden ze tří zdrojů to neuvádí pro konkrétní verzi aplikace, takže se z nich přesná odpověď vyčíst nedá; nejopatrnější je počítat s tou horší variantou.

Google k tomu přidává jednu podstatnou vlastnost: nikde neběží centrální detekce, jež by nově připojené zařízení ohlásila, a kompromitace tak podle firmy může zůstat dlouho bez povšimnutí. Jediná kontrola, která funguje, je ta, kterou si člověk udělá sám v nastavení.

Koho si útočníci vybírají

Podle úřadu dosud kampaně mířily hlavně na lidi z bezpečnostní oblasti, ze státní správy a na politiky. Techniku poprvé nasadily ruské zpravodajské služby pravděpodobně proti příslušníkům ukrajinské armády – a slovo „pravděpodobně“ má v pravděpodobnostní škále NÚKIB hodnotu 55 až 70 %. Obdobné útoky byly zaznamenány na Ukrajině, v Německu, ve Francii a v Nizozemsku, přičemž geografický rozsah je podle úřadu velmi pravděpodobně (75 až 85 %) širší.

Google jmenuje konkrétní uskupení. Skupina sledovaná jako UNC5792 upravovala stránky s pozvánkou do skupiny tak, že místo do skupiny odkazovaly na adresu začínající sgnl://linkdevice, tedy na připojení zařízení. UNC4221 provozovala vlastní phishingovou sadu napodobující ukrajinskou dělostřeleckou aplikaci Kropyva. A skupina APT44, kterou několik vlád přisuzuje ruské vojenské rozvědce, podle Googlu pracovala na tom, aby ruské jednotky v poli uměly připojit účty ze zařízení ukořistěných na bojišti k útočníkově infrastruktuře.

Report je o čtyřiadvacet dní starší než jeho zveřejnění

Dokument má jednací číslo 21670/2026-NÚKIB-E/630 a je datovaný 11. srpna 2026 v Brně, na web se ale dostal až 4. září. Má šest stran a je označený TLP:CLEAR, tedy k volnému šíření. Vlastní rozbor a doporučení se vešly na první dvě strany, zbytek zabírá příloha s postupem klikání v aplikaci, seznam zdrojů a vysvětlivky. Podle poznámky pod čarou jde o aktualizaci doporučení, které úřad k Signalu vydal v roce 2022.

Co NÚKIB radí udělat

• Projít v nastavení seznam připojených zařízení a všechno neznámé odebrat.
• Zapnout Zámek registrace. Signal pak při opětovné registraci čísla vyžádá PIN, takže na převzetí účtu nestačí samotný ověřovací kód.
• Nikomu nesdělovat PIN ani ověřovací kódy. Oficiální podpora Signalu o ně podle úřadu nežádá a zprávami v aplikaci uživatele neoslovuje.
• Nesnímat QR kódy a neotevírat odkazy, které si člověk nevyžádal.
• U citlivější komunikace zapnout mizející zprávy a dohledatelnost podle telefonního čísla přepnout na „Nikdo“.
• U podezřelé zprávy si jiným kanálem ověřit, že ji poslal ten, za koho se vydává.
• Aplikaci stahovat jen z oficiálních stránek signal.org.

Zámek registrace má i svou cenu, kterou úřad nezmiňuje a Signal ano: kdo PIN zapomene a zámek má zapnutý, může se k účtu až týden nedostat. Provozovatel PIN nezná a resetovat ho neumí.

Výrazně exponovaným osobám NÚKIB doporučuje navíc denní restart telefonu. Sám k tomu dodává, že kompromitaci tím nikdo nezastaví – restart jen omezí působení škodlivého kódu, který nepřežije vypnutí. Ruční porovnávání bezpečnostního čísla, na kterém úřad trvá, přitom Signal nově doplnil o ověřování proti veřejnému logu klíčů.

Zdroje

• NÚKIB: Ruští aktéři cílí na uživatele Signalu. NÚKIB vydává analýzu a doporučení, jak si aplikaci zabezpečit (4. 9. 2026)
• NÚKIB: Zneužití aplikace Signal pro phishing, situační report č. j. 21670/2026-NÚKIB-E/630 (PDF)
• Google Threat Intelligence Group: Signals of Trouble (19. 2. 2025)
• Signal Support: Linked Devices
• Signal Support: Signal PIN
• iROZHLAS: Rusové útočí na Signalu, varuje NÚKIB (4. 9. 2026)