事件概述
最近，为 Signal 提供电话号码验证服务的 Twilio 公司遭到了网络钓鱼攻击。以下是我们的用户公告：
- 所有用户的消息记录、联系人名单、个人资料信息、屏蔽人名单和其他个人数据均处于私密和安全状态，并未受此次事件影响，对此大家尽可放心。
- 此次大约有 1,900 位用户因为该事件而受影响。黑客可能尝试过使用这些用户的电话号码在另一台设备中重新注册，或者已经知晓他们的电话号码已注册 Signal 服务。Twilio 公司已遏止此次攻击。相比于庞大的 Signal 用户总数，1,900 人仅占极小的比例，这意味着大部分用户并未受到影响。
我们正在通知这 1,900 位用户，并提示他们在设备上重新注册 Signal。如果您收到了 Signal 发送的短信，并且短信中包含这篇支持文章的链接，那么请您按以下步骤进行操作：
- 在手机上打开 Signal，如果 Signal 应用提示您重新注册 Signal 账户，请您按此提示重新注册。
- 为了尽可能保护您的账户，我们强烈建议您在应用设置中启用注册锁。我们创建此功能就是为了防止用户像 Twilio 一样遭到类似攻击。
事件详情
Twilio 是一个为 Signal 提供电话号码验证服务的公司，该公司称他们遭到了网络钓鱼攻击。我们对此次攻击展开了调查，并整理了下列事件详情。
- 黑客通过钓鱼获得了 Twilio 客服控制台的访问权限。大约有 1,900 位用户因此受到影响，表现为 1）黑客可能已知晓他们的电话号码注册过 Signal 账号，或 2）用于注册 Signal 的短信验证码已被泄露。
- 在黑客访问 Twilio 的客服系统期间，他们可能曾使用获取的电话号码和短信验证码在另一台设备上注册 Signal。现在黑客已不再拥有访问权限，且此次攻击已被 Twilio 遏制。
- 在这 1,900 个电话号码中，黑客明确搜索了三个电话号码。我们收到了其中一名用户的举报，称其账户曾被重新注册。
我们想在此强调，黑客无法访问任何消息记录、个人资料信息或联系人名单。消息记录仅保存于您的设备中，Signal 不会另存一份。您的联系人名单、个人资料信息和屏蔽人名单等信息仅能通过您的 Signal 密码进行恢复，而黑客在此次事件中并未（也无法）获取用户的密码。但是，由于黑客能够重新注册账户，他们也许会使用获取的电话号码收发 Signal 消息。
对此我们正采取以下措施保护受影响的用户：
- 对于可能受影响的所有 1,900 位用户，我们将会针对用户当前所使用的所有设备（或黑客重新注册的设备）取消 Signal 注册，并要求这些用户使用电话号码在他们偏好的设备上重新注册 Signal。
- 我们正通过短信直接通知可能受影响的所有 1,900 位用户。
自 8 月 15 日起，我们已通知用户并要求他们使用电话号码重新注册 Signal。通知工作预计将于 8 月 16 日全部完成。
Signal 开发注册锁和 Signal 密码等功能正是为了抵御 Twilio 所遭受的同类电信攻击。我们强烈建议用户启用注册锁功能。虽然我们无力直接修复影响电信生态系统的问题，但我们将会与 Twilio 和其他提供商携手合作，在涉及用户的关键方面加强安全防范。
此次事件对我有影响吗？
- 根据 Twilio 提供的信息，此次事件可能会影响 1,900 位用户。我们正通过短信通知这些用户。我们将于 8 月 15 日开始通知用户，并计划于 8 月 16 日 完成通知工作。我们给用户发送的短信内容为：“您好，我们是 Signal 信使。我们联系您是为了保护您的 Signal 账户。请打开 Signal 并重新注册。详细信息请参见：https://signal.org/smshelp”
- 当您打开 Signal 时，如果您看到有一个横幅提示称您的设备已被取消注册，那么您可能受到了此次事件的影响。不过其他原因也可能会导致注册被取消，如长期不登录 Signal。
我的个人数据被访问或攻击了吗？
没有。Signal 的设计宗旨是由您掌握个人数据，我们绝不会加以干涉。Signal 对您的消息记录、联系人名单、个人资料信息、屏蔽人名单和其他个人数据没有访问权限。并且我们绝不会将这些信息提供给 Twilio，此次攻击 Twilio 的黑客也无法通过短暂入侵获得这些数据。但是，由于黑客在攻击期间能够重新注册账户，他们也许会使用获取的电话号码收发 Signal 消息。
我的聊天对象是否受到了影响？
鉴于只有极少数用户受到影响，您的聊天对象受影响的几率不大。不过如果您想知道您的联系人是否受到了影响，您可以联系他们，询问对方是否收到了 Signal 发送的短信通知，我们在短信中请用户重新注册账户，并指引他们了解事件详情。
我该怎么做？
我们建议用户为账户启用注册锁。在使用 Signal 密码的同时使用可选的注册锁可以为注册流程增加一层验证防护。您可以前往 “Signal 设置”（个人资料） > “账户” > “注册锁” 进行设置。
Signal 正采取哪些措施预防此类事件再次发生？
我们已联系 Twilio，并与对方及其他提供商优化他们的安全措施。在用户方面，我们建议用户启用注册锁。