在歐盟內部通訊系統接連遭網攻後,歐盟執委會(European Commission)要求各總署主管及副主管停止使用Signal群組交換資訊,並下令刪除相關群組。儘管資安界普遍認可Signal的加密等級,但近期針對歐盟官員的精密釣魚攻擊,已使這款商用通訊軟體出現安全疑慮。專家指出,若手機本身遭駭,加密通訊軟體也無法保護通訊內容。
政治新聞網站Politico報導,據3名知情的執委會官員透露,該加密通訊App上的群組成員包括各總署主管與副主管。此舉正值歐盟深陷一連串間諜活動疑雲,執委會上周也表示,正調查其網站遭網攻。
德國智庫Interface網路安全與新興威脅研究員赫爾皮希(Sven Herpig)指出,「網路行動」在質與量上都在提升,攻擊者包括覬覦資料、數據的犯罪組織與外國政府。他補充道:「政治人物與政黨向來是間諜與窺探者的目標。」
兩名官員表示,執委會上月已注意到該群組的存在,並要求成員將其刪除,原因是擔心可能遭駭。另有一名官員指出,目前沒有證據顯示群組成員的通訊已被攔截,此項禁令主要反映機構對通訊App安全風險升高的憂慮。上月,一名Politico記者與歐盟官員的私人通話曾遭攔截並被公開。
另外兩名執委會官員及前述其中一名官員證實,執委委員辦公室成員與其他高階官僚曾收到訊息,要求輸入Signal的PIN碼,經確認為網路釣魚攻擊。
赫爾皮希表示:「Signal本身相當安全,但如果攻擊者控制了你的手機,就可能取得你的對話內容,包括照片及其他資料。對政治人物或國會議員來說,目前沒有更好的通訊選項。」
官員指出,雖然WhatsApp用戶也是攻擊目標,但近期針對Signal的攻擊嘗試更為頻繁。
歐盟執委會對員工的官方指引建議避免使用WhatsApp,改用Signal,因為資安專家普遍認為後者較為安全。執委會發言人表示:「我們不評論內部安全作業。我們非常重視資安風險,並為員工制定明確的內部指引。」
兩名官員指出,執委會正嚴肅看待近期一連串攻擊,已展開全面資安評估,並定期更換官員的手機與設備。
執委會上周五(3月27日)表示,初步調查顯示其官網遭襲擊後有部分資料失竊;今年1月也曾發現行動裝置管理系統遭入侵,可能導致員工姓名與電話號碼外流。
Signal的安全疑慮並非僅限於執委會。荷蘭情報機構上月警告,一場「大規模全球網路行動」中,與克里姆林宮有關的駭客假冒Signal客服聊天機器人,誘使官員交出PIN碼。法國、德國、葡萄牙與英國安全機構也發布類似警告。
赫爾皮希表示:「目前最好的選擇仍是Signal、Threema,其次才是WhatsApp。」Threema是一款瑞士開發的加密通訊App。
針對政府通訊需求,開發多個歐洲政府安全通訊技術的Element公司執行長霍奇森(Matthew Hodgson)批評,Signal和WhatsApp缺乏政府層級所需的管理功能,他舉例:「如果有人被政府開除,你無法將其踢出WhatsApp群組;它也沒有單一登入或身分驗證控制,整體存在單點失效風險。」
政府官員使用Signal的風險,在去年一起事件中受到高度關注。《大西洋月刊》(The Atlantic)總編輯曾被誤加入一個Signal群組,該群組包含美國副總統范斯(JD Vance)在內的多名政府最高層官員,並在其中討論詳細軍事計劃。該事件被稱為「Signal門」(Signalgate),該事件再次凸顯了商用通訊軟體滲透進政府運作所帶來的國安隱憂。