Signal 新增针对社会工程学和网络钓鱼攻击的安全警告

Signal 推出了新的应用内确认和警告信息，作为额外的安全防护措施，以应对可能导致各类欺诈的网络钓鱼和社会工程学攻击。

此举旨在设置一定阻碍，让用户有时间评估外部请求的安全性。

近期，正如美国联邦调查局（FBI）、荷兰政府和德国当局所强调的，出现了针对知名人士的攻击，攻击者利用虚假的 “Signal 支持” 警报进行操作。

所有这些事件都被认为是俄罗斯政府支持的黑客所为，他们滥用 “关联设备” 功能来获取目标用户的账户、聊天记录和联系人列表。

攻击手法是诱使受害者扫描二维码或分享一次性验证码，谎称这是保护其账户免受可疑活动侵害的验证流程的一部分。这使得威胁行为者能够将他们的设备关联到目标账户，并获取所有数据。

Signal 方面解释称：“为帮助保护 Signal 用户免受网络钓鱼和社会工程学攻击，我们在应用中引入了更多确认信息和教育提示，帮助用户更好地识别欺诈性个人资料，特别是那些冒充 Signal 的诈骗者发来的消息请求。”

这些新的保护措施如下：

• Signal 会在通过私信建立联系的联系人下方显示 “姓名未验证”，还会显示 “无共同群组”，以突出与接收者没有任何关联。

• 当收到新的请求时，Signal 会提示用户确认是否接受，并提醒用户 Signal 绝不会索要他们的注册码、个人识别码（PIN）或恢复密钥。

• 安全提示内容更加丰富，有新的条目和更多信息。

• 会向用户推送提醒，告诫用户切勿回复冒充 Signal 支持发来的聊天信息。

社会工程学攻击仍是最有效的网络攻击形式之一，能够完全绕过现有的安全措施。

用户应对来自未知联系人的可疑消息保持高度警惕，特别是要求扫描二维码或分享验证码的请求。

Signal 用户还应在设置中检查是否有异常的关联设备，并删除任何不认识的设备。