DoubleLoure Signal/WhatsApp

Nombres Alternativos / Aliases

• Campaña de Phishing a Signal y WhatsApp
• Operación de Toma de Cuentas de Mensajería
• Ataque de Suplantación de Soporte de Signal
• Phishing QR a Dispositivos Vinculados
• Russian Messenger Hack 2026
• Ataque de Doble Factor Signal/WhatsApp

Fecha de Detección / Actividad

Período de Actividad Observado: Finales de 2025 - Marzo 2026 (actividad detectada por servicios de inteligencia europeos). Los ataques continúan activamente contra nuevos objetivos.

Fecha de Divulgación Pública: 6 de febrero de 2026 (aviso conjunto BfV/BSI de Alemania). 9 de marzo de 2026 (confirmación pública de Signal y aviso detallado MIVD/AIVD de Países Bajos).

Estado: Activo. La campaña de phishing patrocinada por el estado ruso persiste. No se ha comprometido la infraestructura de Signal o WhatsApp, pero las cuentas individuales de alto perfil siguen siendo objetivo continuo.

Actor de Amenaza (Atribución)

Atribución: Actores estatales rusos. Atribuido por los servicios de inteligencia neerlandeses (MIVD/AIVD) y alemanes (BfV/BSI). Investigaciones de Microsoft y Google vinculan la actividad a grupos como Star Blizzard, UNC5792 (UAC-0195) y UNC4221 (UAC-0185).

Tipo de Actor: APT (Advanced Persistent Threat) / Hackers patrocinados por el estado.

Sophistication: Media-Alta. La sofisticación radica en la precisión de la ingeniería social, el conocimiento profundo de las funciones legítimas de las aplicaciones y la selección meticulosa de objetivos de alto valor (funcionarios, militares, periodistas). No utiliza exploits técnicos complejos.

Motivación: Espionaje y robo de información clasificada o sensible. Obtener acceso a comunicaciones gubernamentales, diplomáticas, militares y periodísticas para obtener ventaja geopolítica.

Resumen Ejecutivo

DoubleLoure Signal/WhatsApp es el nombre que designa una cibercampaña global y en curso llevada a cabo por hackers estatales rusos contra cuentas de Signal y WhatsApp de funcionarios gubernamentales, personal militar, diplomáticos y periodistas de todo el mundo, incluyendo empleados del gobierno neerlandés y objetivos en Alemania y Europa.

El ataque no vulnera el cifrado de extremo a extremo de Signal o WhatsApp, ni compromete la infraestructura central de estas plataformas. Los atacantes emplean dos métodos principales de ingeniería social para explotar funciones de seguridad legítimas de las aplicaciones. El primer método consiste en hacerse pasar por un chatbot de "Signal Support" para engañar a la víctima y obtener su código de verificación y PIN, logrando la toma de control total de la cuenta. El segundo método aprovecha la función de "dispositivos vinculados", engañando a la víctima para que escanee un código QR malicioso que enlaza el dispositivo del atacante a la cuenta de la víctima, otorgando acceso de lectura a todos los mensajes, incluyendo el historial de los últimos 45 días.

Una vez comprometida una cuenta, los atacantes pueden leer mensajes entrantes, acceder a listas de contactos y a chats grupales, comprometiendo potencialmente redes enteras de comunicación. Los servicios de inteligencia neerlandeses confirmaron que empleados del gobierno neerlandés han sido tanto objetivos como víctimas de esta campaña. Alemania emitió advertencias similares sobre ataques a políticos, militares y periodistas. Signal confirmó públicamente los ataques el 9 de marzo de 2026, enfatizando que su cifrado y su infraestructura no han sido comprometidos.

Vectores de Ataque

• Suplantación de Identidad de Soporte Técnico: Los atacantes crean cuentas falsas haciéndose pasar por "Signal Support" o "Signal Security ChatBot" y contactan directamente a las víctimas mediante mensajes de Signal.
• Ingeniería Social para Códigos de Verificación: Mediante mensajes que alegan actividad sospechosa o riesgo de pérdida de datos, persuaden a las víctimas para que compartan el código de verificación SMS y el PIN de Signal necesarios para registrar la cuenta en otro dispositivo.
• Abuso de la Función de Dispositivos Vinculados: Engañan a las víctimas para que escaneen códigos QR maliciosos con la excusa de unirse a grupos de chat o por supuestas razones de seguridad, vinculando así el dispositivo del atacante a la cuenta de la víctima.
• Explotación de Confianza en la Marca: Aprovechan la reputación de Signal como aplicación segura para que el engaño parezca legítimo y la víctima confíe en el mensaje falso.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Phishing (T1566)	Contacto directo con la víctima a través de Signal, haciéndose pasar por una entidad legítima ("Signal Support").
Ejecución (TA0002)	Ejecución de Usuario (T1204)	La "ejecución" depende de la acción de la víctima: compartir el código de verificación o escanear el código QR.
Persistencia (TA0003)	Cuentas Válidas (T1078)	En el método de dispositivos vinculados, los atacantes mantienen acceso persistente mientras la víctima sigue usando su cuenta normalmente.
Acceso a Credenciales (TA0006)	Credenciales en Archivos (T1552.001) / Phishing (T1566)	Obtienen códigos SMS y PIN mediante engaño para registrar la cuenta en un dispositivo controlado.
Descubrimiento (TA0007)	Descubrimiento de Cuentas (T1087)	Una vez dentro, acceden a la lista de contactos de la víctima y a los chats grupales para identificar nuevas víctimas potenciales.
Recolección (TA0009)	Recolectar Chat de Grupo (T1114.003)	Recolectan mensajes entrantes y, en el método QR, acceden al historial completo de los últimos 45 días.
Exfiltración (TA0010)	Exfiltración sobre Canal de C2 (T1041)	Los mensajes y contactos son exfiltrados al dispositivo del atacante, ahora vinculado o controlando la cuenta.

Flujo de Ataque (Kill Chain)

1. Reconocimiento: Actores rusos identifican objetivos de alto valor: funcionarios gubernamentales, militares, diplomáticos y periodistas de interés para los servicios de inteligencia rusos en Países Bajos, Alemania, Europa y Ucrania.
2. Preparación: Crean cuentas falsas de "Signal Support" o "Signal Security ChatBot". Preparan mensajes de texto con sensación de urgencia y, para el segundo método, generan códigos QR maliciosos.
3. Entrega/Explotación (Dos Métodos Paralelos):
   • Método A (Toma de Control): Envían un mensaje de Signal suplantando al chatbot de soporte, solicitando el código de verificación y PIN para "verificar" la cuenta ante una supuesta actividad sospechosa.
   • Método B (Vinculación de Dispositivos): Engañan a la víctima para que escanee un código QR malicioso con la excusa de unirse a un grupo o por razones de seguridad.
4. Instalación/Acceso:
   • Método A: La víctima comparte el código y el PIN. El atacante registra el número de teléfono de la víctima en su dispositivo, tomando el control total. La víctima pierde el acceso.
   • Método B: La víctima escanea el código QR, vinculando el dispositivo del atacante a su cuenta. El atacante obtiene acceso de lectura sin que la víctima pierda el suyo.
5. Comando y Control (C2): El dispositivo del atacante actúa como un endpoint más de la cuenta, recibiendo mensajes en tiempo real. No requiere infraestructura C2 externa tradicional.
6. Acción sobre el Objetivo:
   • Acceden a la lista de contactos y grupos de chat.
   • Leen todos los mensajes entrantes, incluyendo mensajes en chats grupales. En el Método B, acceden al historial de los últimos 45 días.
   • Pueden enviar mensajes haciéndose pasar por la víctima (Método A) o simplemente observar (Método B).
7. Impacto: Compromiso de comunicaciones confidenciales, exposición de redes de contacto, potencial filtración de información clasificada.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Cuentas de Señuelo	Cuentas de Signal falsas con nombres como "Signal Support" o "Signal Security ChatBot".	Establecer el primer contacto y ejecutar el engaño.
Dispositivos del Atacante	Teléfonos móviles o tabletas controlados por los atacantes.	Registrar la cuenta de la víctima o vincularse a ella para interceptar comunicaciones.
Números de Teléfono (VoIP)	Números utilizados para recibir los códigos SMS de verificación.	Recibir el código SMS para completar el registro de la cuenta en el dispositivo del atacante.
Generadores de Códigos QR	Herramientas para generar códigos QR que ejecutan la vinculación de dispositivo maliciosa.	Crear el señuelo para el segundo vector de ataque.

Objetivos y Sectores Atacados

Objetivo Principal: Usuarios individuales de Signal y WhatsApp con acceso a información de valor para el gobierno ruso.

Objetivos Específicos: Funcionarios gubernamentales (incluyendo empleados del gobierno neerlandés), personal militar de alto rango, diplomáticos y periodistas de investigación en Alemania, Países Bajos, Europa y Ucrania.

Sector Afectado: Gubernamental, Defensa, Diplomacia, Medios de Comunicación.

Distribución Geográfica: Global, con enfoque prioritario en Europa y Ucrania.

Impacto y Riesgo

Nivel de Riesgo: Crítico para los objetivos directos. Alto para usuarios de Signal y WhatsApp en general.

Compromiso de Comunicaciones Confidenciales: Conversaciones internas de gobiernos, planificación militar o fuentes periodísticas interceptadas por un actor estatal hostil.

Exposición de Redes de Contacto: La libreta de direcciones de la víctima queda expuesta, permitiendo identificar y atacar a otras personas de interés.

Compromiso de Chats Grupales: El acceso a un miembro puede exponer conversaciones de grupos enteros, comprometiendo redes u organizaciones completas.

Suplantación de Identidad: Posibilidad de enviar mensajes haciéndose pasar por la víctima para difundir desinformación o realizar más ataques.

Daño Reputacional: Para instituciones cuyos empleados son víctimas, la confianza en su capacidad para proteger comunicaciones se ve gravemente dañada.

Riesgo para la Seguridad Nacional: La filtración de información clasificada puede tener consecuencias directas para la seguridad de los países afectados.

Recomendaciones de Mitigación

• Activar Bloqueo de Registro en Signal (M1032): Impide que un atacante registre el número en otro dispositivo incluso si obtiene el código SMS, al requerir el PIN.
• Formación en Ingeniería Social (M1017): Enfatizar que el soporte oficial de Signal NUNCA contacta directamente por mensaje ni solicita códigos de verificación o PIN.
• Revisar Dispositivos Vinculados Periódicamente (M1029): En Ajustes -> Dispositivos vinculados, eliminar inmediatamente cualquier dispositivo desconocido.
• No Escanear Códigos QR No Solicitados (M1017): Verificar siempre la legitimidad de la solicitud a través de un canal alternativo (email, teléfono).
• Usar Nombres de Usuario en Signal: Ocultar el número de teléfono para reducir la superficie de ataque.
• Activar Mensajes Efímeros: Limitar el historial disponible en caso de compromiso, especialmente en el método de vinculación.
• Verificar Contactos Duplicados en Grupos: En grupos de Signal, contactos duplicados o nombres como "Cuenta eliminada" pueden indicar compromiso. Contactar por otro medio para verificar.

Herramientas de Detección

• Educación y Concienciación del Usuario: Usuario formado que desconfíe de mensajes no solicitados de "soporte técnico".
• Auditorías de Dispositivos Vinculados: Revisión manual regular para detectar accesos no autorizados.
• Análisis de Tráfico de Red Corporativa (M1037): Identificar tráfico de datos inusual hacia dispositivos móviles no corporativos.
• Soluciones MDM/UEM (M1029): Gestionar y auditar aplicaciones en dispositivos corporativos (con consideraciones de privacidad).

Referencias y Fuentes

• Aviso Conjunto MIVD/AIVD Países Bajos: "Cybersecurity Advisory - Phishing via messaging apps Signal and WhatsApp" (Marzo 2026)
• Aviso Conjunto BfV/BSI Alemania: "Phishing über Messengerdienste" (6 febrero 2026)
• Declaración pública de Signal en X (Twitter): @signalapp (9 marzo 2026)
• Informes de Microsoft y Google Threat Intelligence Group sobre Star Blizzard, UNC5792 y UNC4221 (2025)
• Informe de Gen Digital sobre campaña "GhostPairing" (Diciembre 2025)

Indicadores de Compromiso / IOC

Nota: DoubleLoure no utiliza malware, por lo que los IOC tradicionales no son aplicables. Los IOC son conductuales y relacionales.

Patrones de Comportamiento:

• Recepción de mensajes de Signal no solicitados de cuentas llamadas "Signal Support" o "Signal Security ChatBot".
• Mensajes que instan a compartir código de verificación o PIN para evitar "suspensión", "actividad sospechosa" o "pérdida de datos".
• Solicitudes no solicitadas para escanear códigos QR para unirse a grupos o por "seguridad".
• Pérdida repentina de acceso a la propia cuenta de Signal.
• Dispositivos desconocidos en la lista de "Dispositivos vinculados".
• En chats grupales de Signal, contactos duplicados o cambios de nombre a "Cuenta eliminada" sin notificación legítima.

Sistemas Vulnerables:

Cuentas de usuario de Signal y WhatsApp cuyas credenciales sean reveladas o cuyo código QR de vinculación sea escaneado.

Etiquetas / Categorías

signal whatsapp russia phishing social-engineering cyberespionage apt m1029 m1017 m1032 threat-intelligence aivd mivd bsi bfv starlizzard account-takeover qrcode-phishing communications-security