Verantwortlich für den Leak sei eine Sicherheitslücke bei der Cloud-Kommunikationsplattform Twilio, teilte Signal mit. Twilio, der weltweite Marktführer in diesem Segment, durch den Kund:innen kanalübergreifend angesprochen werden können, hatte Anfang August eingestanden, dass Cyberkriminelle durch einen Phishingangriff Zugriff auf die Daten von 125 Kund:innen erlangt hätten. Wer zu den betroffenen Kund:innen gehörte, ließ Twilio offen.

Signal bestätigte nun, dass es eines der betroffenen Unternehmen ist. In einem Blog-Beitrag erklärte der Messengerdienst am Montag, dass er etwa 1.900 Benutzer:innen benachrichtigen werde, deren Telefonnummern oder SMS-Bestätigungscodes bei dem Angriff gestohlen worden seien, da die Kriminellen Zugriff auf die Kundensupport-Konsole von Twilio erhalten hatten.

„Bei etwa 1.900 Benutzern könnten die Angreifer versuchen, ihre Nummer auf einem anderen Gerät neu zu registrieren, oder herausfinden, dass ihre Nummer bei Signal registriert wurde“, teilte Signal mit. Nach drei Nummern sei ausdrücklich gesucht worden und eine:r der dazugehörigen Benutzer:innen habe dem Messengerdienst mitgeteilt, dass sein:ihr Konto neu registriert worden sei, teilte Signal mit.

Signal hob hervor, dass die Angreifer:innen weder Zugriff auf den Nachrichtenverlauf gehabt hätten, da dieser nicht gespeichert werde, noch auf Kontaktlisten und Profilinformationen, die durch die Sicherheits-PIN des Benutzers geschützt seien.

Die Betroffenen müssen sich darauf einstellen, dass Signal die App auf allen Geräten abmelden wird, die die Betroffenen derzeit verwenden, und bittet sie, die App auf ihrem bevorzugten Gerät neu zu registrieren.

Zudem empfiehlt das Unternehmen, die Registrierungssperre zu aktivieren, mit der verhindert werden kann, dass ein Konto auf einem anderen Gerät ohne die Sicherheits-PIN des Benutzers erneut registriert wird.

John Scott Railton von der digitale Plattform für Bürgerbeteiligung Citizenlab erklärte auf Twitter, was am besten alle Signal-Nutzer:innen nun tun sollten:

Signal gilt als eine der sichersten Messaging-Apps, da alle Nachrichten Ende-zu-Ende verschlüsselt sind und keine Daten auf den Signal-eigenen Servern gespeichert werden. Dadurch sind die Chats gut abgesichert.

Zuletzt machte sich bei Signal-Nutzer:innen laut Techcrunch allerdings vermehrt Unbehagen breit, da eine Telefonnummer registriert werden muss, um ein Konto zu erstellen. Andere End-to-End-Verschlüsselungs-Apps wie Wire ermöglichen es ihren Benutzer:innen bereits, sich lediglich mit einem Benutzernamen anzumelden. Der aktuelle Leak dürfte diese Diskussion weiter anheizen.