Το Signal username που πρόδωσε πηγές του Intercept

Για μήνες, όποιος πληροφοριοδότης έστελνε μυστικά έγγραφα στο επίσημο κανάλι Signal του The Intercept πίστευε ότι μιλούσε με το ερευνητικό μέσο. Στην πραγματικότητα, σύμφωνα με το Drop Site News που αποκάλυψε την υπόθεση στις 2 Ιουλίου 2026, το μήνυμα κατέληγε σε άγνωστο τρίτο που είχε αποκτήσει τον έλεγχο του handle TheIntercept.01 (Drop Site). Η κρυπτογράφηση δούλευε άψογα σε όλη τη διαδρομή. Απλώς κλείδωνε το γράμμα και το παρέδιδε στο λάθος γραμματοκιβώτιο.

Αυτή είναι η ουσία της ιστορίας, και το πιο παρεξηγήσιμο κομμάτι της. Κανείς δεν «έσπασε» τη Signal.

Πώς ένα ανενεργό όνομα γίνεται παγίδα

Το Signal username είναι ένα δημόσιο handle, μια διεύθυνση επικοινωνίας που επιτρέπει σε κάποιον να σου γράψει χωρίς να δει τον αριθμό του τηλεφώνου σου (Signal Support). Χρήσιμο για δημοσιογράφους και πηγές που θέλουν απόσταση. Το κρίσιμο, όμως, είναι αυτό που το username δεν κάνει: δεν αποδεικνύει ταυτότητα. Είναι σαν πινακίδα στην πόρτα, όχι διαβατήριο.

Και οι πινακίδες αλλάζουν κατόχους. Η ίδια η τεκμηρίωση της Signal το λέει καθαρά: αν αλλάξεις username, το παλιό δεν μένει δικό σου για πάντα. Κρατιέται προσωρινά και περίπου μία εβδομάδα αργότερα μπορεί να το διεκδικήσει άλλος χρήστης (Signal Support). Έτσι, ένα γνώριμο handle που έμεινε ασυντήρητο παύει σιωπηλά να δείχνει στον αρχικό οργανισμό και αρχίζει να δείχνει σε κάποιον άλλο. Το site του Intercept συνέχιζε να διαφημίζει το TheIntercept.01 ως επίσημη γραμμή. Άρα κάθε πηγή που το εμπιστευόταν έστελνε πλέον κρυπτογραφημένα μηνύματα σε ξένο λογαριασμό.

Ο μηχανισμός που θα το είχε αποτρέψει υπάρχει μέσα στην εφαρμογή, αλλά είναι μια λειτουργία που οι περισσότεροι χρήστες δεν ελέγχουν: τα safety numbers. Είναι ο μοναδικός τρόπος να επιβεβαιώσεις ότι μιλάς με το ίδιο κρυπτογραφικό πρόσωπο και όχι με ένα όνομα που απλώς «φαίνεται σωστό». Η Signal ζητά ρητά να ελέγχονται σε ευαίσθητες επαφές (Signal Support). Χωρίς αυτόν τον έλεγχο, η αναγνώριση ενός handle δεν αξίζει τίποτα. Όπως το θέτουν οι οδηγοί ασφαλείας, εδώ δεν έσπασε η κρυπτογράφηση· έσπασε η ταυτότητα του παραλήπτη (EFF).

«Βέλτιστη πρακτική» ή συγκάλυψη;

Το πιο ενοχλητικό κομμάτι δεν είναι το τεχνικό κενό. Είναι πώς το χειρίστηκε το ίδιο το μέσο. Στη δημόσια ανακοίνωσή του στις 30 Ιουνίου, το The Intercept δεν μίλησε για παραβίαση ή για πλαστοπροσωπία. Έγραψε ότι «σύμφωνα με τις βέλτιστες πρακτικές ασφαλείας» ενημέρωσε τη γραμμή Signal και ζήτησε απλώς να μη χρησιμοποιείται πια το TheIntercept.01, δίνοντας νέο username, το Theintercept_tips.01 (The Intercept). Μια ρουτίνα συντήρησης, δηλαδή, όχι μια πηγή που ίσως μιλούσε με απατεώνα.

Η πληρέστερη εικόνα ήρθε μόνο υπό την πίεση του ρεπορτάζ του Drop Site. Σε δήλωση προς το μέσο, το The Intercept παραδέχθηκε ότι έμαθε για προσπάθεια πλαστοπροσωπίας και διεκδίκησης του λογαριασμού tips, έστησε νέο username, ειδοποίησε το κοινό και κινήθηκε για να κατέβει ένας ψεύτικος λογαριασμός στο X με το όνομα «Investigative Intake» που παρέπεμπε πηγές στο καταληφθέν κανάλι, προσθέτοντας ότι δεν έχει ενδείξεις πως κάποια πηγή τέθηκε σε κίνδυνο (Drop Site).

Το πρόβλημα με μια αόριστη ανακοίνωση περί «βέλτιστων πρακτικών» είναι ακριβώς ότι αφήνει τη λάθος εντύπωση. Οι οργανισμοί προστασίας δημοσιογράφων συγκλίνουν ότι μια επαρκής ειδοποίηση οφείλει να λέει καθαρά ποιο identifier δεν είναι πλέον αξιόπιστο, από πότε περίπου, και τι πρέπει να κάνει όποιος επικοινώνησε πρόσφατα (Freedom of the Press Foundation). Αλλιώς, η πηγή που παρέδωσε ευαίσθητα στοιχεία δεν έχει λόγο να ανησυχήσει, και αυτή ακριβώς είναι η πιο εκτεθειμένη.

Ποιος κινδυνεύει πραγματικά

Το διακύβευμα εδώ δεν είναι το περιεχόμενο ενός μηνύματος· είναι η αυθεντικότητα της σχέσης πηγής-δημοσιογράφου (CPJ). Ένας πληροφοριοδότης που εμπιστεύθηκε το λάθος account μπορεί να έχει αποκαλύψει την ταυτότητά του, να στοχοποιηθεί, ή να πέσει θύμα «social engineering», ενός απατεώνα που ζητά όλο και περισσότερα έγγραφα. Για υλικό υψηλού κινδύνου, τα ειδικά συστήματα ανώνυμων διαρροών όπως το SecureDrop σχεδιάστηκαν ακριβώς για να μη στηρίζεται όλη η εμπιστοσύνη σε ένα handle που κάποιος ξέχασε να συντηρήσει (SecureDrop).

Δεν ξέρουμε ακόμη πόσες πηγές ξεγελάστηκαν, ούτε ποιοι ήταν οι δράστες· δεν υπάρχει δημόσια τεχνική έκθεση. Ξέρουμε όμως το παράθυρο: ο ψεύτικος λογαριασμός ζητούσε tips ήδη από τον Φεβρουάριο του 2026. Όποιος έγραψε στο παλιό κανάλι αυτούς τους μήνες οφείλει να θεωρήσει την επαφή δυνητικά εκτεθειμένη και να επαληθεύσει ξανά, αυτή τη φορά ελέγχοντας το safety number.