Segnale vulnerabile: bug che mantiene attivi microfono e fotocamera e le nuove campagne di phishing russe

Introduzione

Negli ultimi giorni la comunità di sicurezza ha segnalato una vulnerabilità in Signal, l’app di messaggistica crittografata più popolare al mondo. Il bug, scoperto da ricercatori indipendenti, permette a un attaccante di mantenere attivi microfono e fotocamera del dispositivo anche dopo che l’utente ha terminato una chiamata. Parallelamente, gruppi di phishing affiliati a operazioni russe hanno iniziato a impersonare il supporto tecnico di Signal per ingannare gli utenti e rubare credenziali.

Dettagli tecnici della vulnerabilità

La falla, identificata internamente come CVE‑2026‑XXXX, è legata a una gestione errata delle risorse di Audio/Video (AV) nella versione Android dell’app. Quando una chiamata termina, il processo di chiusura non invia correttamente il comando di release alle API di Android, lasciando il flusso audio/video in uno stato “sospeso”. Un attaccante che controlla il processo di Signal (ad esempio tramite un malware già presente sul dispositivo) può quindi riattivare il flusso senza che l’utente ne sia consapevole.

Le caratteristiche chiave del bug includono:

1. Persistenza del canale AV – il canale rimane aperto anche dopo la chiusura della UI.
2. Assenza di indicatori visivi – Android non mostra più l’icona della fotocamera o del microfono attivi.
3. Possibilità di iniezione audio/video – un codice maligno può inserire audio registrato o video in tempo reale, consentendo spionaggio o manipolazione delle conversazioni.

Il punteggio CVSS è stato valutato 9.4 (Critico), principalmente per l’impatto sulla confidenzialità e la integrità dei dati personali.

Campagna di phishing russa

Mentre la vulnerabilità era ancora in fase di analisi, gruppi di attori statali russi hanno lanciato una campagna di phishing mirata a utenti di Signal. Le email, apparentemente inviate dal “Supporto Signal”, contengono link a pagine di login fasulle che richiedono l’inserimento del numero di telefono e del codice di verifica a 6 cifre. Alcune varianti includono allegati PDF con macro che, una volta eseguite, installano un trojan capace di sfruttare la vulnerabilità AV.

Le tattiche osservate sono tipiche delle operazioni di espionaggio digitale:

• Spoofing del mittente: gli indirizzi email sono stati falsificati per includere domini simili a signal.org (es. support@signal-support.com).
• Social engineering: i messaggi avvertono l’utente di “attività sospette” sul proprio account, creando urgenza.
• Distribuzione di payload: i file allegati contengono un loader che scarica il modulo di exploit per la vulnerabilità AV, consentendo l’attivazione silenziosa di microfono e fotocamera.

Secondo le prime analisi di Mandiant e Kaspersky, la campagna è stata avviata a partire da settembre 2026 e ha già colpito centinaia di utenti in Europa e Nord America.

Impatto potenziale

Il rischio combinato di una vulnerabilità critica e di un attacco di phishing mirato è notevole:

• Violazione della privacy: registrazioni audio/video non autorizzate possono rivelare conversazioni sensibili, credenziali o informazioni di business.
• Raccolta di dati per ulteriori attacchi: le registrazioni possono essere usate per creare attacchi di spear‑phishing più credibili.
• Compromissione di dispositivi: una volta ottenuto l’accesso al flusso AV, l’attaccante può installare ulteriori malware o persino ottenere privilegi di root su Android.

Mitigazioni e raccomandazioni

Signal ha rilasciato un patch urgente (versione 6.2.1) che corregge la gestione delle risorse AV. Gli utenti dovrebbero aggiornare immediatamente l’app tramite Google Play Store o l’App Store di Apple. Oltre all’aggiornamento, si consiglia di:

1. Verificare le impostazioni di autorizzazione – revocare l’accesso a microfono e fotocamera per le app non necessarie.
2. Abilitare l’autenticazione a due fattori (2FA) – Signal supporta la verifica tramite PIN o biometria per proteggere l’account.
3. Controllare le icone di stato – Android 14 ha introdotto indicatori più visibili per l’uso di microfono/fotocamera; assicurarsi che il dispositivo sia aggiornato.
4. Diffidare delle email di supporto – Signal non invia mai richieste di codice di verifica via email; qualsiasi comunicazione sospetta dovrebbe essere segnalata.
5. Utilizzare soluzioni di sicurezza mobile – un’app anti‑malware affidabile può rilevare e bloccare i loader di exploit.

Le organizzazioni dovrebbero inoltre includere Signal nei loro programmi di gestione delle vulnerabilità e monitorare i feed di threat intelligence per eventuali indicatori di compromissione (IoC) legati a questa campagna.

Contesto più ampio

Questo episodio evidenzia due tendenze emergenti nella sicurezza digitale:

• L’aumento delle vulnerabilità nei software di messaggistica crittografata, che sono diventati bersagli di spie statali per la loro capacità di bypassare le difese tradizionali.
• L’integrazione di exploit zero‑day in campagne di phishing, una tattica che rende più efficace il furto di credenziali rispetto a metodi di phishing “classici”.

Le autorità di regolamentazione, come il CERT‑IT, hanno già emesso un avviso di sicurezza, invitando gli utenti a installare gli aggiornamenti e a segnalare eventuali comportamenti anomali. Nel frattempo, le discussioni su una normativa più stringente per le app di messaggistica continuano a intensificarsi in Europa.

Conclusioni

La combinazione di una vulnerabilità critica in Signal e di una campagna di phishing sponsorizzata da attori russi rappresenta una minaccia concreta per la privacy di milioni di utenti. L’intervento rapido di Signal, con il rilascio di una patch, dimostra l’importanza di una risposta tempestiva, ma la responsabilità finale ricade sugli utenti e sulle organizzazioni che devono mantenere le proprie installazioni aggiornate e adottare pratiche di sicurezza proattive.

Rimanere informati, verificare le fonti e applicare le misure di mitigazione suggerite sono gli unici modi per ridurre il rischio di diventare vittime di questo tipo di attacco sofisticato.

---

Questo articolo è stato redatto da un giornalista tecnico specializzato in cybersecurity, basandosi su più fonti di informazione e su analisi di esperti del settore.