В 2026 году правительства стран ЕС столкнулись как минимум с восемью «значимыми инцидентами», связанными с атаками через Signal и WhatsApp. Для ИТ-рынка это неприятный, но полезный сигнал: фишинг в мессенджерах перестал быть экзотикой и уверенно переезжает туда, где пользователи по привычке меньше ждут подвоха, чем в почте.
Как пишет Dark Reading, речь идет не о взломе самих приложений и не о какой-то новой уязвимости в Signal или WhatsApp. Основной инструмент атакующих старый, почти скучный, но все еще рабочий: социальная инженерия. По данным издания, европейские чиновники, дипломаты и военные получали сообщения от злоумышленников, которые выдавали себя то за службу поддержки Signal, то за официального бота, то просто давили на срочность. Цель была простой: заставить жертву отдать PIN-код аккаунта или отсканировать QR-код, который привязывал устройство атакующего к чужой учетной записи.
Сам по себе сюжет не новый: государственные APT-группы годами строили атаки вокруг e-mail. Но здесь важен сдвиг канала. Если корпоративная почта давно обросла фильтрами, песочницами, почтовыми шлюзами, антифишинговыми тренировками и общим недоверием пользователей, то мессенджеры все еще воспринимаются как «быстрый и безопасный» слой общения. Особенно если речь об end-to-end encryption и приложениях с репутацией защищенных. На этом доверии и сыграли атакующие. Президент Volexity Стивен Адэр прямо говорит о тренде: злоумышленники все чаще выводят общение из e-mail в Signal, WhatsApp, Telegram, LINE и другие платформы, где переписка хуже видна средствам мониторинга, а сообщения нередко можно удалить.
Хронология у кампании довольно показательная. 6 февраля 2026 года два немецких ведомства выпустили совместное предупреждение: «вероятно контролируемый государством» злоумышленник использует сервисы обмена сообщениями, включая Signal, для атак на высокопоставленных людей из сферы политики, дипломатии и армии в Германии и шире по Европе. Далее пошла цепная реакция. В начале марта Нидерланды сообщили, что похожие атаки затронули WhatsApp и Signal и были нацелены на высокопоставленных лиц, военных и госслужащих. Примерно тогда же Еврокомиссия потребовала от группы старших чиновников отказаться от одного из Signal-чатов из-за опасений, что он может быть скомпрометирован. Германия и Нидерланды связали эти кампании с Россией.
Успех атак оказался не теоретическим. По данным Dark Reading, канцлера Германии Фридриха Мерца скомпрометировать не удалось, но злоумышленники получили доступ к аккаунту председателя Бундестага Юлии Клёкнер. Уже в июле Объединенный киберподразделение ЕС подтвердило серьезность проблемы на закрытой презентации для европейских чиновников. В документе, который позже оказался у Politico, захват аккаунтов высокопоставленных чиновников назвали одной из крупнейших угроз для правительств ЕС в 2026 году. Это уже не история про «осторожнее кликайте по ссылкам», а вопрос устойчивости политических и административных коммуникаций.
На этом месте особенно интересно не то, что атаки идут через популярные приложения, а почему им вообще есть где развернуться. Старший директор Black Duck Коллин Хог-Спирс формулирует проблему жестко: у институтов ЕС нет единой общей системы для обмена чувствительными и секретными документами, а нижележащие стеки безопасности отличаются от ведомства к ведомству. Пока нет санкционированной и удобной альтернативы, чиновники продолжают тащить рабочее общение в потребительские мессенджеры. И это условие, без которого подобные кампании просто не взлетели бы. Убрать Signal из процесса мало; сначала нужно построить замену, а уже потом запрещать старый канал.
Часть европейских стран именно этим сейчас и занята. Франция, Германия и Бельгия уже развернули собственные внутренние мессенджеры; Люксембург, Польша и Нидерланды двигаются в ту же сторону. В киберплане Еврокомиссии за 2025 год прямо сказано, что структуры ЕС должны к концу 2026 года договориться о совместимом наборе защищенных коммуникационных решений для ключевых участников Союза. Причем не только для чатов, но и для голоса, данных, видеосвязи, совместной работы и обмена документами. В списке требований набор вполне ожидаемый: безопасность по проекту, сертификация европейскими органами, сквозное шифрование, аутентификация, доступность, технологический суверенитет и даже постквантовая криптография.
Но и здесь нет повода расслабляться. Собственный мессенджер не равен автоматически безопасному мессенджеру. Dark Reading напоминает про французский Tchap: приложение запустили в 2019 году, в 2025-м сделали обязательным для госслужащих, а в 2026-м оно, по сообщениям источников, само стало объектом утечки. Речь шла о трех годах чувствительной переписки 73 тысяч сотрудников, оказавшейся в открытом доступе в дарквебе. Ирония неприятная, но полезная: миграция с WhatsApp на внутренний продукт не лечит организационные провалы, слабую идентификацию устройств и ошибки в операционной безопасности.
Для русскоязычной ИТ-аудитории вывод довольно приземленный. Если в компании или госструктуре мессенджеры давно стали частью рабочих процессов, значит, они уже входят в контур атаки, даже если никто формально не считает их «критичной системой». Разработчикам это добавляет задач вокруг MDM, привязки личности к устройству, журналирования и контроля сессионных связок. Продуктовым и ИБ-командам придется перестать жить в логике, где почта отдельно, а мессенджеры «как-нибудь сами». А бизнесу полезно признать простую вещь: фишинг в мессенджерах бьет не по приложению как таковому, а по привычке людей быстро отвечать в канале, который кажется личным и доверенным. Похоже, ближайшие годы будут не про отказ от мессенджеров, а про борьбу за то, кто именно контролирует этот слой общения: Big Tech, государство или атакующий, который первым прислал «срочное уведомление безопасности».