Versleutelde chatapp Signal heeft 1900 gebruikers gewaarschuwd voor een datalek waarbij hun telefoonnummers en sms-registratiecodes in handen van een aanvaller zijn gekomen. De data werd buitgemaakt bij de recente phishingaanval op cloudcommunicatieplatform Twilio. Dit bedrijf verzorgt de sms-verificatie voor Signal. De aanvaller wist toegang te krijgen tot de gegevens van 125 Twilio-klanten. Nu blijkt dat Signal één van de getroffen klanten is.
Volgens Signal kreeg de aanvaller toegang tot de supportconsole en kon zo de telefoonnummers en sms-registratiecodes van Signal-accounts bekijken. Met de sms-verificatiecode was het vervolgens mogelijk voor de aanvaller om het telefoonnummer van Signal-gebruikers op een andere telefoon te registreren. De aanvaller zocht hierbij specifiek naar drie telefoonnummers, aldus de versleutelde chatapp. Eén van deze gebruikers heeft laten weten dat zijn account opnieuw is geregistreerd.
Vanwege de aanval heeft Signal besloten om alle 1900 getroffen gebruikers op al hun toestellen te deregistreren en verzocht om zich opnieuw te registreren op hun primaire toestel. Deze gebruikers zullen via sms worden ingelicht. Signal zegt dat de aanvaller geen toegang tot de berichtengeschiedenis, profielinformatie of contactlijsten heeft gekregen.
Signal laat verder weten dat het met Twilio samenwerkt om ervoor te zorgen dat het communicatieplatform de eigen beveiliging opschroeft. Tevens adviseert Signal alle gebruikers om een registratielock in te schakelen. Dan is er een pincode vereist om telefoonnummer opnieuw bij Signal te registreren.
Deze posting is gelocked. Reageren is niet meer mogelijk.