Le chiavi di recupero trasformano un furto in accesso persistente
Il punto non è più il singolo takeover dell’account. Una Backup Recovery Key rubata può restare valida anche dopo la ricreazione dell’account con lo stesso numero di telefono, quindi un phishing riuscito può lasciare un varco duraturo dentro chat passate e future.
CISA e FBI dicono che UNC5792 e UNC4221 hanno spostato le campagne contro Signal e WhatsApp da codici di verifica e PIN alla richiesta di Backup Recovery Keys. In parallelo, il Dipartimento di Stato ha messo una taglia fino a 10 milioni di dollari sui responsabili, segno che il problema è la persistenza dell’accesso, non solo l’intrusione iniziale.
Per chi usa queste app in contesti governativi, di difesa, media e ONG, la chiave di recupero va trattata come una credenziale permanente: se esce, il ripristino dell’account da solo non basta a chiudere la porta.