El ciberataque se produjo a través de «phising» a Twilio, una empresa externa con la que Signal trabaja.

La app de mensajería Signal conocida por ser una de las alternativas para la comunicación a WhatsApp o Telegram, ha sido víctima de un ciberataque que ha dejado al descubierto los datos de 1.900 usuarios de la plataforma. La propia compañía ha informado de este ataque en su cuenta de Twitter.

El ciberataque se produjo a través de Twilio, una empresa externa con la que Signal trabaja y que es la que realiza un servicio de verificación de los números de teléfono asociados a la app mediante mensajes en SMS.

Fue a principios de este mes de agosto cuando Twilio fue víctima de una calificada como «sofisticada» agresión informática que permitió a los ciberdelincuentes entrar en sus sistemas y hacerse con el control de datos confidenciales de sus clientes, entre ellos de algunos usuarios de Signal. Esto lo lograron usando el método ‘phishing’, al suplantar la identidad de los empleados de Twilio y poder entrar al sistema.

Signal, que hasta la fecha destacaba por ser una de las apps de mensajería más destacadas en lo que a seguridad se refiere, ha explicado en su comunicado que este ciberataque ha vulnerado los datos de 1.900 usuarios. Esto es una pequeña proporción teniendo en cuenta los más de 40 millones de usuarios que la plataforma tiene en todo el mundo.

La compañía ha asegurado también que en la actualidad «todos los usuarios pueden estar seguros de que su historial de mensajes, listas de contactos, información de perfil, a quiénes habían bloqueado y otros datos personales siguen siendo privados y seguros y no se vieron afectados».

La información robada por los ciberdelincuentes correspondiente a estos 1.900 usuarios podría permitirles intentar registrar el número de teléfono de un usuario de Signal en un nuevo dispositivo. Eso podría darse en aquellas cuentas que no tenían activado el bloqueo de registro. En ese caso, los atacantes no tendrían acceso a los mensajes previos a su instalación de la app, aunque si podrían usar la cuenta para suplantar la identidad de la víctima.

Para evitar todo esto, desde Signal han pedido a sus usuarios activar el bloqueo de registro, una función que refuerza la seguridad de la cuenta al pedir el PIN para volver a registrar el número de teléfono. Para hacerlo, los usuarios pueden ir a la aplicación, configuración, privacidad y ahí activar ese bloqueo de registro.