Κρατικοί χάκερ στόχευσαν λογαριασμούς Signal αξιωματούχων της ΕΕ

Ένας υψηλόβαθμος αξιωματούχος των Βρυξελλών σκανάρει ένα QR που μοιάζει ρουτίνα, μια «επαλήθευση ασφαλείας» ή μια πρόσκληση σε ομάδα. Σε εκείνο το δευτερόλεπτο, χωρίς να σπάσει κανένας κώδικας κρυπτογράφησης, μια άγνωστη συσκευή κάπου στο εξωτερικό συνδέεται αθόρυβα στον λογαριασμό του και αρχίζει να λαμβάνει τα μηνύματά του. Αυτός είναι ο μηχανισμός πίσω από ένα κύμα επιθέσεων που μια εμπιστευτική παρουσίαση της Ευρωπαϊκής Επιτροπής καταγράφει πλέον εναντίον λογαριασμών Signal και WhatsApp ανώτερων αξιωματούχων της ΕΕ (Euronews). Και το κρίσιμο: όσο κράτησε η επίθεση, η κρυπτογράφηση των εφαρμογών δούλευε κανονικά.

Η end-to-end κρυπτογράφηση προστατεύει το μήνυμα όσο ταξιδεύει από τη μία συσκευή στην άλλη, σαν τεθωρακισμένο φορτηγό που μεταφέρει έναν φάκελο. Αν όμως κάποιος πάρει δεύτερο κλειδί για το σπίτι σου ή ανοίξει τον φάκελο μέσα στο σπίτι, το φορτηγό έκανε άψογα τη δουλειά του· το πρόβλημα ήταν η πρόσβαση στον παραλήπτη. Γι' αυτό οι επιτιθέμενοι δεν χτυπούν το πρωτόκολλο, αλλά τον άνθρωπο, τη συσκευή και την ταυτότητα του λογαριασμού.

Πρακτικά, αυτό γίνεται με τρεις τρόπους. Πρώτον, στοχευμένο «ψάρεμα»: ένα εξατομικευμένο μήνυμα που υποδύεται το «Signal Support» και ζητά επαλήθευση. Δεύτερον, κλοπή του προσωρινού κωδικού επαλήθευσης ή του PIN, δηλαδή του χαρτιού στη ρεσεψιόν που λέει «δώστε του πρόσβαση, είναι ο ιδιοκτήτης». Τρίτον, και πιο ύπουλα, κατάχρηση της νόμιμης λειτουργίας «συνδεδεμένων συσκευών»: ένα κακόβουλο QR συνδέει τη συσκευή του δράστη ως έμπιστη, κι από κει και πέρα κάθε νέο μήνυμα φτάνει και σε εκείνον. Δεν παραβίασε το ταχυδρομείο· έβαλε ένα δεύτερο γραμματοκιβώτιο με το όνομά σου. Οι ολλανδικές υπηρεσίες πληροφοριών ήταν ρητές ότι στη ρωσική εκστρατεία που περιέγραψαν τον Μάρτιο του 2026 δεν αξιοποιήθηκε καμία τεχνική ευπάθεια του Signal ή του WhatsApp, παρά μόνο νόμιμες λειτουργίες τους (AIVD/MIVD).

Αν αναρωτιέσαι «και εγώ τι κάνω;», η μετατόπιση αλλάζει ποιος κινδυνεύει. Για αξιωματούχους και διπλωμάτες, το μάθημα είναι ότι μια εμπορική εφαρμογή δεν αρκεί μόνη της για ευαίσθητη κουβέντα, όσο ισχυρή κι αν είναι η κρυπτογράφησή της. Για δημοσιογράφους και τις πηγές τους το διακύβευμα είναι ακόμη πιο άμεσο: λίγες εβδομάδες νωρίτερα, άγνωστοι φέρονται να απέκτησαν έλεγχο σε προστατευμένο κανάλι Signal του The Intercept και παρίσταναν τους δημοσιογράφους του για να προσεγγίσουν πληροφοριοδότες (To Brief). Για τον απλό χρήστη, ο ρεαλιστικός κίνδυνος δεν είναι μια μαζική κατάρρευση της κρυπτογράφησης, αλλά η κλοπή του λογαριασμού και η σιωπηλή παρακολούθηση μέσω μιας συνδεδεμένης συσκευής.

Πόσο μεγάλο, και τι δεν ξέρουμε

Πάνω από 190 φορείς απειλής στόχευσαν το οικοσύστημα της ΕΕ τον τελευταίο χρόνο, ενώ οι θεσμοί κατέγραψαν οκτώ σοβαρά περιστατικά ασφαλείας μόνο στο πρώτο εξάμηνο του 2026 (Euronews, POLITICO). Ένα «σοβαρό περιστατικό» όμως είναι κατηγορία επιπτώσεων· δεν σημαίνει σπασμένη εφαρμογή, και τα οκτώ δεν μεταφράζονται σε οκτώ επιτυχημένες παραβιάσεις. Το εμπιστευτικό έγγραφο, εξάλλου, δεν δίνει ονόματα στόχων, ούτε πόσες απόπειρες κατέληξαν σε πραγματική κατάληψη λογαριασμού, ούτε αποδίδει τα περιστατικά σε συγκεκριμένο κράτος.

Ομοιότητα δεν είναι ταυτότητα. Οι τεχνικές των επιθέσεων θυμίζουν έντονα καμπάνιες που ολλανδικές και βρετανικές αρχές έχουν αποδώσει δημόσια στη Ρωσία· το βρετανικό NCSC μιλά για δράστες «με βάση τη Ρωσία» που στοχεύουν πρόσωπα υψηλού ρίσκου με ακριβώς τα ίδια εργαλεία (NCSC, BBC). Οι συγκεκριμένες όμως ευρωπαϊκές απόπειρες παραμένουν, δημόσια, χωρίς επίσημη κρατική απόδοση.

Το θεσμικό κενό

Το πιο ανησυχητικό εύρημα δεν είναι τεχνικό, αλλά οργανωτικό. Κανόνες υπάρχουν: οι αυστηρά διαβαθμισμένες πληροφορίες της ΕΕ ταξιδεύουν μέσα σε θωρακισμένα, πιστοποιημένα δίκτυα, με το ίδιο σκεπτικό που ένα κτίριο έχει συναγερμούς, ρόλους και σχέδιο εκκένωσης (eur-lex). Αυτό που λείπει είναι το κοινό, ελεγχόμενο δωμάτιο συσκέψεων: ένας ενιαίος, διαθεσμικός δίαυλος για την καθημερινή ευαίσθητη κουβέντα που δεν φτάνει να διαβαθμιστεί. Όπως παραδέχτηκε η ίδια η εσωτερική παρουσίαση, τα όργανα της ΕΕ χρησιμοποιούν διαφορετικές λύσεις και δεν έχουν κοινό σύστημα ανταλλαγής ευαίσθητων εγγράφων (POLITICO). Στη γκρίζα ζώνη ανάμεσα στο ανεπίσημο chat και στο απόρρητο έγγραφο, ο καθένας πέφτει πίσω σε εμπορικές εφαρμογές φτιαγμένες για όλους, όχι για κράτη υπό επίθεση.

Και η θεσμική διόρθωση θα αργήσει. Ο ευρωπαϊκός Cyber Resilience Act ενεργοποιεί τις πρώτες υποχρεώσεις τον Σεπτέμβριο του 2026 και ολοκληρώνεται σε ενάμιση περίπου χρόνο (European Commission). Μέχρι τότε, με τη δημόσια διοίκηση να παραμένει ο πιο στοχοποιημένος τομέας στην ΕΕ και περίπου έξι στα δέκα περιστατικά να ξεκινούν με phishing (ENISA), η άμυνα μένει ατομική και οργανωτική. Και χωρίς έναν κοινό ασφαλή δίαυλο, κάθε θεσμός της ΕΕ παλεύει μόνος του με μια απειλή που τους χτυπά όλους.