कैसे एक सोशल इंजीनियरिंग हमले ने सिग्नल ऐप को चुनौती दी

क्या सिग्नल को हमलावरों ने हैक कर लिया था?

हैक किए गए प्लेटफ़ॉर्म को हैक किए गए उपयोगकर्ता खाते से अलग करना महत्वपूर्ण है। इस मामले में, कुछ उपयोगकर्ताओं को फ़िशिंग हमलों के माध्यम से दुर्भावनापूर्ण अभिनेताओं द्वारा धोखा दिया गया था: एक प्रकार का साइबर हमला जो पीड़ितों को पासवर्ड या पिन नंबर जैसे निजी सुरक्षा डेटा छोड़ने के लिए प्रेरित करता है।

सिग्नल ने बताया कि हमलावरों ने उपयोगकर्ता की साख चुराने के लिए अपनी प्रोफ़ाइल तस्वीरें बदल दीं और सिग्नल की सहायता टीम का हिस्सा होने का नाटक किया। इसके बाद, उन्होंने पीड़ित के खाते को अपने कब्जे में ले लिया, उनका फोन नंबर बदल दिया और पीड़ितों को आश्वस्त किया कि डी-रजिस्टर किया जाना इस प्रक्रिया का हिस्सा था। इसके कारण पीड़ितों को अपने सिग्नल खाते तक पहुंच खोनी पड़ी और उन्हें यह एहसास हुए बिना कि उनके खातों के साथ क्या हो रहा था, दूसरे खाते में ले जाया गया। फिर, हमलावरों ने पीड़ित का रूप धारण किया और पीड़ित की संपर्क सूची में मौजूद लोगों को निशाना बनाने की कोशिश की।

जबकि सिग्नल, टेलीग्राम और व्हाट्सएप जैसे एंड-टू-एंड एन्क्रिप्टेड प्लेटफार्मों पर किए गए रूस-आधारित साइबर हमले नए नहीं हैं, सिग्नल पर विशेष ध्यान दिया जाता है क्योंकि एप्लिकेशन अपने सुरक्षा-केंद्रित बुनियादी ढांचे के लिए जाना जाता है। इसके उपयोगकर्ताओं में सरकारी अधिकारी, पत्रकार, कार्यकर्ता और संवेदनशील जानकारी संभालने वाले अन्य लोग शामिल हैं। उदाहरण के लिए, 2025 में, के प्रधान संपादक जेफरी गोल्डबर्ग के बाद हंगामा मच गया अटलांटिक दुकान, इसे सिग्नल चैट में जोड़ा गया था जहां अमेरिकी सरकार के वरिष्ठ अधिकारी बमबारी और राजनयिक संबंधों पर चर्चा कर रहे थे।

फरवरी 2026 में, Google थ्रेट इंटेलिजेंस ग्रुप की एक रिपोर्ट में कहा गया कि रूसी जासूसी अभिनेताओं के निशाने पर न केवल यूक्रेनी तकनीकी उपयोगकर्ता थे, बल्कि यूक्रेन के अंतरराष्ट्रीय सहयोगी भी थे।

इस बीच, अमेरिकी संघीय जांच ब्यूरो (एफबीआई) और साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (सीआईएसए) ने वर्तमान और पूर्व अमेरिकी सरकारी अधिकारियों, सैन्य कर्मियों, राजनीतिक हस्तियों और पत्रकारों जैसे संभावित लक्ष्यों को सूचीबद्ध किया है। अमेरिकी एडवाइजरी में कहा गया है कि हजारों उपयोगकर्ता खातों तक अनधिकृत पहुंच बनाई गई है।

सिग्नल की प्रतिक्रिया क्या थी?

सिग्नल ने उपयोगकर्ताओं को ऐसे फ़िशिंग प्रयासों से बचाने में मदद करने के लिए उपाय करने का वादा किया, जिससे सवाल उठने लगे कि क्या सोशल इंजीनियरिंग हमलों के मामले में मैसेजिंग प्लेटफ़ॉर्म या उपयोगकर्ताओं को जवाबदेह ठहराया जाना चाहिए। कुछ सोशल मीडिया उपयोगकर्ताओं ने सवाल किया कि हमलावरों को आधिकारिक सिग्नल हैंडल का प्रतिरूपण करने की अनुमति क्यों दी गई, जबकि अन्य यह समझना चाहते थे कि सरकारी अधिकारियों को बेहतर साइबर सुरक्षा प्रशिक्षण या अधिक सुरक्षित, गैर-सिग्नल संचार प्लेटफार्मों तक पहुंच क्यों नहीं मिली।

12 मई को, सिग्नल ने उपयोगकर्ताओं को धोखाधड़ी वाले प्रोफाइल का पता लगाने में मदद करने के लिए ऐप में अतिरिक्त पुष्टि कदम और शैक्षिक संदेश पेश किया। सुविधाओं में “नाम सत्यापित नहीं” प्रोफ़ाइल लेबल, संदेश अनुरोधों के लिए एक नया पुष्टिकरण चरण, विस्तृत सुरक्षा युक्तियाँ और सिग्नल से होने का दिखावा करने वाले प्रेषकों पर भरोसा न करने के अनुस्मारक शामिल हैं।

प्लेटफ़ॉर्म ने उपयोगकर्ताओं को फ़िशिंग हमलों और खाता कब्ज़े के प्रयासों के प्रति सतर्क रहने की चेतावनी दी है। कंपनी ने उपयोगकर्ताओं को याद दिलाया कि उसकी सहायता टीम का कोई भी वैध सदस्य संदेश अनुरोध नहीं भेजेगा या उनके पंजीकरण सत्यापन कोड और सिग्नल पिन जैसे क्रेडेंशियल नहीं मांगेगा।

सिग्नल खाताधारक अपनी सेटिंग्स के माध्यम से पंजीकरण लॉक सुविधा का भी उपयोग कर सकते हैं; यह उपयोगकर्ताओं को एसएमएस-आधारित सत्यापन के अलावा, खाता पंजीकरण उद्देश्यों के लिए एक पिन सेट करने में सक्षम बनाता है।

“हालांकि यह सच है कि सभी मैसेजिंग प्लेटफ़ॉर्म स्कैमर्स और फ़िशिंग के लिए अतिसंवेदनशील होते हैं जो लोगों के विश्वास को धोखा देते हैं और उन्हें “सामने का दरवाज़ा खोलने” के लिए मना लेते हैं जहां कोई पिछला दरवाज़ा मौजूद नहीं है, हम लोगों को ऐसे घोटालों से बचने और उनका पता लगाने में मदद करने के लिए हर संभव प्रयास करना चाह रहे हैं,” सिग्नल ने कहा।

उपयोगकर्ता अपनी सुरक्षा कैसे कर सकते हैं?

किसी प्लेटफ़ॉर्म की अंतर्निहित तकनीक को तोड़ने की कोशिश करने वाले साइबर हमलों के विपरीत, सोशल इंजीनियरिंग हमलों को बहुत कम तकनीकी कौशल के साथ लॉन्च किया जा सकता है। एक सुरक्षित प्रणाली को अस्थिर करने के बजाय, वे विशिष्ट व्यक्तियों, छोटे समूहों या चुनिंदा पीड़ितों के खातों को लक्षित करते हैं। सोशल इंजीनियरिंग हमलों में संचार-आधारित रणनीति शामिल होती है जैसे पीड़ित को हेरफेर करना, उनकी मनोवैज्ञानिक कमजोरियों का आकलन करना, धमकियां जारी करना, सहानुभूति जगाना, दूसरों का प्रतिरूपण करना, या हानिकारक लिंक वाले प्रेरक संदेश भेजना।

एफबीआई ने अपनी मार्च एडवाइजरी में सुरक्षा सलाह भी साझा की थी जिसके बारे में चेतावनी दी गई थी रूसी खुफिया सेवाओं (आरआईएस) से जुड़े साइबर अभिनेताओं द्वारा चल रहे फ़िशिंग अभियान). इसमें आगे कहा गया कि रिपोर्टिंग के आधार पर, धमकी देने वाले अभिनेताओं ने विशेष रूप से सिग्नल खातों को लक्षित किया।

उनके द्वारा साझा की गई कुछ बुनियादी सुरक्षा युक्तियों में घोटाले का संदेह होने पर मैसेजिंग ऐप्स पर सभी संचार बंद करना, अज्ञात संदेशों को ब्लॉक करना और रिपोर्ट करना, दोस्तों से “अजीब” अनुरोध प्राप्त होने के बाद वैकल्पिक चैनलों के माध्यम से सत्यापन करना, संदेश समाप्ति सुविधाओं को सक्षम करना, अज्ञात लिंक पर क्लिक करने से पहले उनकी स्क्रीनिंग करना, डुप्लिकेट खातों के लिए समूह चैट सूचियों की निगरानी करना और बिना देरी किए सुरक्षा घटनाओं की रिपोर्ट करना शामिल है।

हालाँकि, चैटबॉट्स, डीपफेक इमेज जेनरेटर और वॉयस क्लोनिंग ऐप्स जैसे जेनरेटिव एआई टूल्स की बाढ़ ने हमलावरों के लिए सोशल इंजीनियरिंग हमले शुरू करना और कम तैयारी वाले उपयोगकर्ताओं – विशेष रूप से बच्चों, बुजुर्गों या कमजोर लोगों – को पीड़ितों में बदलना पहले से कहीं अधिक आसान बना दिया है।

प्रकाशित – 16 मई, 2026 08:31 पूर्वाह्न IST