Связанные устройства

Злоумышленники могут злоупотреблять функцией «связанных устройств» в приложениях для обмена сообщениями — таких как Signal и WhatsApp — для регистрации аккаунта пользователя на устройстве, контролируемом злоумышленником. Злоупотребляя функцией «связанных устройств», злоумышленники могут достигать и поддерживать закрепление через аккаунт пользователя, собирать информацию — например, сообщения и список контактов пользователя — и рассылать последующие сообщения со связанного устройства. Signal — приложение для обмена сообщениями, использующее открытый протокол Signal Protocol для шифрования сообщений и звонков; аналогично WhatsApp — приложение для обмена сообщениями со сквозным шифрованием и другими мерами безопасности для защиты сообщений и звонков. Оба приложения имеют функцию «связанных устройств», позволяющую пользователям получать доступ к своим аккаунтам Signal и/или WhatsApp с разных устройств — настольных компьютеров Windows или Mac, iPad или Android-планшетов. Злоумышленники могут использовать техники фишинга, чтобы обманом заставить пользователя отсканировать QR-код, используемый для привязки аккаунта Signal и/или WhatsApp к устройству, контролируемому злоумышленником. Например, злоумышленники могут маскировать QR-коды под приглашения в группы, предупреждения безопасности или легитимные инструкции по привязке устройств. При сканировании QR-кода в Signal пользователи могут нажать на параметр «Перенести историю сообщений» для синхронизации связанных устройств, что может позволить злоумышленникам собирать дополнительные сведения о пользователе. При сканировании QR-кода в WhatsApp устройство пользователя автоматически отправляет зашифрованную сквозным шифрованием копию последней истории сообщений на устройство, контролируемое злоумышленником.