הרשומה הזאת אינה מתארת באג בקוד. היא מתארת פער בין מה שמוצר הבטיח בתיעוד שלו לבין מה שהוא עשה בפועל: מערכת הארכוב של TeleMessage החזיקה עותקים של הודעות בטקסט גלוי, מהמשתמשים של אפליקציית TM SGNL, בזמן שהתיעוד תיאר הצפנה מקצה לקצה מהטלפון הנייד ועד לארכיון הארגוני. הרשומה עצמה אומרת שהחולשה נוצלה בשטח במאי 2025.

מה החולשה?

הצפנה מקצה לקצה אומרת ששני הקצוות בלבד יכולים לקרוא את התוכן, וכל מה שביניהם מעביר אותו חתום. הכול תלוי בשאלה אחת: איפה בדיוק נמצא הקצה.

במוצר ארכוב הארגון מוסיף קצה שלישי בכוונה. הוא חייב לשמור עותק קריא של ההתכתבויות, לרוב מסיבות רגולטוריות, ולכן הארכיון הוא יעד לגיטימי של התוכן. השאלה שנשארת פתוחה היא באיזו צורה התוכן יושב שם, ומי יכול לפתוח אותו.

לפי הרשומה, התשובה כאן הייתה טקסט גלוי, והיא מציינת במפורש שזו התנהגות שונה מזו שהתיעוד של החברה תיאר. הסיווג שניתן לחולשה מתאים לכך: פונקציונליות נסתרת, כלומר מערכת שעושה משהו שהתיאור שלה אינו אומר.

וכאן שווה לעצור על המספר. הציון הוא 1.9, נמוך מאוד, והווקטור מדבר על גישה מקומית, הרשאות גבוהות ופגיעה מוגבלת בסודיות. המספר הזה פשוט אינו מתאים למה שקרה. הסולם מיועד לתאר באג בתוכנה, והמקרה הזה הוא תכנון שסותר את ההבטחה. הכניסה לקטלוג המנוצלות היא הסימן המשמעותי כאן, לא הציון.

מי מושפע?

הרשומה מסמנת את מוצר הארכוב של TeleMessage עד לתאריך 5 במאי 2025, ואת המשתמשים של אפליקציית TM SGNL, המכונה גם Archive Signal.

זה מוצר ארגוני וממשלתי, לא אפליקציה שמורידים לטלפון פרטי. הבחנה אחת חשובה כאן במיוחד, כי השמות דומים: מי שמשתמש באפליקציית Signal הרגילה אינו בטווח של הרשומה הזאת. היא עוסקת במוצר של TeleMessage שמארכב הודעות עבור ארגון, ולא בשירות ההודעות עצמו.

האם מנוצלת בפועל?

כן, והפעם זה כתוב בגוף הרשומה ולא רק בקטלוג: היא קובעת שהחולשה נוצלה בשטח במאי 2025. ב-12 במאי 2025 היא נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-2 ביוני 2025.

המקורות שהרשומה מצרפת הם דיווחים עיתונאיים, וכדאי לייחס אותם ככאלה: The Register דיווח שהחברה בודקת את האירוע, וArs Technica דיווח שהשירות הפסיק לפעול בעקבות פרסום על פריצה אליו. אלה דיווחים של כלי תקשורת, לא הודעה של היצרן.

מה עושים?

1. אם הארגון שלכם השתמש ב-TM SGNL ובארכיון של TeleMessage, התייחסו לכל מה שעבר דרכו עד 5 במאי 2025 כאל תוכן שהיה שמור בטקסט גלוי. זו קביעה של הרשומה, לא הערכה, והיא צריכה להוביל להחלטה לפי סוג ההתכתבויות שהיו שם.

2. אל תחפשו כאן מספר גרסה מתקן. הרשומה אינה נוקבת באחד, והדיווחים שהיא מצרפת מתארים שירות שהפסיק לפעול. הפעולה היא לדרוש מהספק בכתב מה היה בארכיון ומי ניגש אליו, ולא להתקין עדכון.

3. החליפו פרטי אימות ומפתחות שהופיעו בתוך ההתכתבויות עצמן. תוכן שנשמר גלוי כולל גם את מה שאנשים שלחו זה לזה בהיסח הדעת.

4. הלקח שאפשר לקחת מכאן הלאה, גם אם מעולם לא שמעתם על המוצר: כששירות מבטיח הצפנה מקצה לקצה וגם מציע ארכוב, שאלו איפה יושב הארכיון ובאיזו צורה הוא מחזיק את התוכן. שתי ההבטחות מושכות לכיוונים מנוגדים, והתיעוד לא תמיד אומר איך הן יושבו.

5. למשתמשי Signal הרגילה אין כאן מה לעשות. הרשומה עוסקת במוצר אחר.