Signal-backups in het vizier: wat dit betekent voor je security stack

TL;DR: Russische staatshackers vallen Signal-back-ups aan via phishing, gericht op bestuurders, ambtenaren, militairen en journalisten. De encryptie wordt niet gekraakt; medewerkers worden overgehaald hun recovery-key af te geven. Voor organisaties is dit een mens- en governance-risico, geen softwarebug. De verdediging zit in awareness, device- en messaging-beleid, MFA-hygiëne en duidelijke afspraken voor risicovolle rollen, niet in één tool.

Op 30 juni 2026 waarschuwde Defensie voor een phishingcampagne tegen Signal. Als keuzehulp voor de Nederlandse security stack kijken we hier niet naar het individuele bericht, maar naar de vraag: welke controls in jouw organisatie maken het verschil als een medewerker zo’n bericht krijgt?

Wat er speelt

Aanvallers doen zich voor als ‘Signal Support’, creëren urgentie en vragen om de Signal Backup Recovery-key. Met die sleutel halen ze 45 dagen aan berichten, foto’s en documenten op en nemen ze het account over. De doelwitten zijn high-value: mensen met toegang tot gevoelige informatie of besluitvorming. Dat maakt de impact per geslaagde aanval groot.

Waarom dit een organisatierisico is

Veel bedrijven zien berichten-apps als privé en buiten scope van hun security. Maar bestuurders en sleutelmedewerkers gebruiken Signal en vergelijkbare apps juist voor de meest gevoelige gesprekken. Een gecompromitteerd account legt dan niet alleen privéberichten bloot, maar ook strategische, juridische of persoonsgevoelige informatie. En omdat de encryptie intact blijft, ziet je traditionele security-stack (firewall, endpoint, mailfilter) er weinig tot niets van. Het risico verschuift naar gedrag en governance.

Maatregelen op stack-niveau

• Awareness gericht op high-value rollen. Train bestuur, woordvoering, juridische zaken en IT specifiek op support-impersonatie en recovery-key-phishing. Generieke training is niet genoeg voor deze doelgroep.
• Recovery-key-hygiëne. Leg vast dat herstelsleutels nooit gedeeld worden, ook niet met “support” of de helpdesk, en dat ze veilig (offline, in een wachtwoordkluis) worden bewaard.
• Device-beleid. Beheerde toestellen, schermvergrendeling, actuele updates en controle op gekoppelde apparaten verkleinen de kans dat een buitgemaakte sessie blijft hangen.
• MFA zonder moeheid. Phishing-resistente MFA (passkeys, hardwaresleutels) waar mogelijk, en train mensen om verzoeken om codes principieel te weigeren.
• Meld- en responsproces. Eén duidelijk, laagdrempelig kanaal om verdachte berichten te melden, met een vaste reactie: gekoppelde apparaten controleren, recovery-key roteren, contacten waarschuwen.

Beleid voor risicovolle rollen

Voor bestuurders en functies met toegang tot gevoelige informatie is het verstandig aanvullende afspraken te maken: welke apps zijn toegestaan voor werkgerelateerde gevoelige gesprekken, hoe lang worden berichten bewaard, en wat is de procedure als een toestel of account verdacht gedrag vertoont. Niet om medewerkers te beperken, maar om het denkwerk vooraf te doen, zodat niemand onder tijdsdruk een verkeerde beslissing neemt. Precies die tijdsdruk is namelijk het wapen van de aanvaller.

De kern voor je security stack

Geen enkel product had deze aanval tegengehouden, want er werd niets gehackt in technische zin. Wat helpt is een stack waarin techniek (beheerde devices, sterke MFA, logging) en mens (gerichte awareness, helder beleid, snelle meldcultuur) elkaar versterken. Beoordeel je leveranciers en tools daarom niet alleen op features, maar op hoe goed ze dit soort menselijke aanvalsroutes helpen afdekken.

Verder lezen

Meer keuzehulp vind je op de homepage en in de categorieën Security en Privacy. Bouw je verdediging rond gedrag en governance, niet rond één tool.